Cisco Tambal Celah Keamanan Zero-Day Baru pada Secure Email Gateway yang Dieksploitasi dalam Serangan Aktif
Cisco secara resmi merilis pembaruan keamanan untuk menambal celah zero-day baru yang tengah dieksploitasi secara aktif pada perangkat Cisco Secure Email Gateway (SEG). Kerentanan berbahaya ini memungkinkan penyerang jarak jauh tanpa autentikasi (unauthenticated) untuk mengeksekusi perintah dengan hak akses tertinggi (root privileges) pada sistem yang terdampak.
Dilacak dengan kode identifikasi CVE-2026-76519, celah keamanan ini bersumber dari kelemahan relative path traversal pada fitur Advanced Malware Protection (AMP) milik SEG yang disebabkan oleh kesalahan penanganan berkas lampiran surat elektronik (email attachment). Pelaku ancaman (threat actors) dapat mengeksploitasi celah ini hanya dengan mengirimkan email yang berisi lampiran berbahaya yang telah dimodifikasi secara khusus melewati perangkat yang belum ditambal (unpatched).
Dalam buletin keamanan resminya pada hari Rabu, Cisco menjelaskan bahwa eksploitasi yang berhasil dapat memungkinkan peretas menulis berkas arbitrer dan mengeksekusi perintah berlevel root langsung pada sistem operasi yang mendasarinya (underlying operating system). Tim Product Security Incident Response Team (PSIRT) Cisco mengonfirmasi bahwa pihaknya telah mendeteksi adanya aktivitas eksploitasi aktif terhadap kerentanan ini pada Oktober 2026.
Konfigurasi yang Terdampak dan Cara Pemeriksaan Sistem
Secara spesifik, kerentanan CVE-2026-76519 berdampak pada instance Cisco SEG apabila layanan File Reputation dalam kondisi aktif dan diterapkan pada kebijakan surat (mail policy), serta menjalankan Content Scanner Tools dengan versi yang lebih lama dari 25.3.0.5525.
Untuk memastikan apakah suatu perangkat rentan terhadap serangan ini, administrator sistem dapat menjalankan perintah antarmuka baris perintah (CLI) contentscannerstatus guna memeriksa versi Content Scanner Tools yang sedang berjalan. Selain itu, administrator dapat memeriksa opsi kotak centang “Enable File Reputation” melalui antarmuka manajemen berbasis web pada menu Mail Policies > Incoming Mail Policies > Advanced Malware Protection atau pada jalur Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.
Meskipun Cisco belum membeberkan rincian lebih lanjut mengenai aktor di balik serangan yang mengeksploitasi CVE-2026-76519, perusahaan telah membagikan panduan indikator penyusupan (Indicators of Compromise / IOC) melalui pesan log sistem berikut:
| Pesan Log Sistem (Log Message) | Tindakan yang Direkomendasikan |
| System Security: Suspected compromise indicator was found. Contact TAC for further recommendations. | Penyusupan terdeteksi. Ikuti instruksi pemulihan pada bagian rekomendasi di buletin keamanan resmi Cisco. |
| System Security: Security scan did not complete. Contact TAC for further recommendations. | Hubungi Cisco Technical Assistance Center (TAC) untuk mendapatkan bantuan teknis lebih lanjut. |
| System Security: No compromise indicator was found. | Tidak ditemukan indikasi penyusupan. Segera perbarui perangkat lunak ke versi yang telah diperbaiki. |
Cisco turut memperingatkan para pelanggannya untuk melakukan pemeriksaan silang (cross-check) pada catatan log firewall dan jaringan guna mencari tanda-tanda aktivitas mencurigakan, termasuk lalu lintas unduhan maupun unggahan dari dan ke alamat IP eksternal yang asing. Langkah ini sangat krusial mengingat peretas berpotensi menghapus jejak bukti eksploitasi di dalam perangkat setelah berhasil mendapatkan akses eksekusi perintah setingkat root.
Mitigasi Layanan Cloud dan Riwayat Kerentanan Serupa
Untuk layanan berbasis komputasi awan, Cisco menyatakan telah menerapkan langkah mitigasi langsung pada cloud instances dan menghubungi para pemilik perangkat Cisco Secure Email Cloud yang terindikasi mengalami potensi penyusupan.
Bagi para pelanggan yang telah dihubungi secara khusus, Cisco sangat merekomendasikan agar segera memulihkan perangkat ke konfigurasi yang aman dengan cara memperbarui seluruh kredensial serta materi kriptografi yang terpasang di dalam appliance. Selain itu, administrator juga dianjurkan untuk membatasi akses jaringan menuju perangkat serta menerapkan mekanisme kontrol akses yang ketat.
Saat ini, lembaga pemantau keamanan internet Shadowserver melacak keberadaan hampir 300 instance Cisco Secure Email Gateway yang terekspos secara daring ke internet publik, meskipun belum dapat dipastikan berapa banyak di antaranya yang merupakan sistem jebakan (honeypots) atau yang sudah diamankan oleh pengelolanya.
Temuan celah keamanan kritis pada lini produk SEG ini menambah daftar rentetan insiden serupa dalam beberapa waktu terakhir. Sebelumnya pada Juli 2024, Cisco sempat menambal kerentanan kritis (CVE-2024-20401) yang memungkinkan peretas menambahkan pengguna baru berhak akses root atau melumpuhkan perangkat secara permanen melalui lampiran email berbahaya.
Selanjutnya pada Januari 2026 lalu, Cisco juga memperbaiki celah dengan tingkat keparahan maksimum pada Cisco AsyncOS (CVE-2025-20393) yang telah dieksploitasi dalam serangan zero-day terhadap perangkat SEG serta Secure Email and Web Manager (SEWM) sejak November 2025. Bahkan baru bulan lalu, Cisco kembali memperingatkan pelanggannya untuk menambal celah zero-day SEG lainnya (CVE-2026-76461) pada komponen email parsing di perangkat lunak Cisco AsyncOS yang juga memberikan akses eksekusi perintah root tanpa autentikasi.
Secara akumulatif, terhitung sejak November 2021, Badan Keamanan Siber dan Infrastruktur AS (CISA) telah memasukkan total 100 kerentanan produk Cisco ke dalam katalog celah keamanan yang dieksploitasi secara aktif, di mana tujuh di antaranya diketahui telah disalahgunakan dalam berbagai operasi serangan ransomware.
Sumber: Cisco Security Advisory
