Cisco Secure Email Gateway CVE-2026-76519: CVSS 9.8, İstismar Ediliyor

Cisco, 14 Ekim 2026'da Secure Email Gateway'i etkileyen CVE-2026-76519 numaralı açığı (CVSS 9.8, Kritik) duyurdu ve açığın aktif olarak istismar edildiğini yazdı; kimlik doğrulaması gerekmeden uzaktan root yetkisiyle komut çalıştırılabiliyor. CISA aynı gün açığı bilinen istismar edilen açıklar (KEV) kataloğuna ekledi.

Secure Email Gateway, kurumların e-posta trafiğini zararlı yazılım ve istenmeyen ileti için denetleyen bir Cisco ürünüdür. Bu sayfa yalnızca Cisco'nun güvenlik bildirimine, NVD kaydına ve CISA KEV kataloğuna dayanır.

Künye

Açık Nasıl Çalışıyor?

Cisco'ya göre sorun, File Reputation özelliği etkinken e-posta eklerinin yanlış işlenmesinden kaynaklanıyor. Saldırgan, etkilenen cihazdan geçen bir e-postaya hazırlanmış bir ek koyarak keyfi dosya yazabiliyor ve root yetkisiyle komut çalıştırabiliyor. CVSS vektörü CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; yani ağ üzerinden, düşük karmaşıklıkla, yetki ve kullanıcı etkileşimi olmadan istismar edilebilir. Cisco açığın dahili güvenlik taraması sırasında bulunduğunu da yazıyor.

Kimler Etkileniyor?

Her Secure Email Gateway etkilenmiyor. Cisco iki koşulun birlikte sağlanmasını arıyor: File Reputation hizmeti etkin ve bir posta politikasına atanmış olmalı, ayrıca Content Scanner Tools sürümü 25.3.0.5525'ten eski olmalı. Bildirime göre Secure Email and Web Manager ve Secure Web Appliance etkilenmiyor. NVD kaydındaki geniş sürüm listesi bu yapılandırma koşullarını taşımadığı için sürüm bilgisinde Cisco'nun bildirimi esas alınmalıdır.

Düzeltme ve Önlem

Cisco düzeltmeyi Content Scanner Tools paketiyle dağıtıyor: 25.3.0.5525 ve sonrası açığı kapatıyor ve bunun için yazılım yükseltmesi ya da yeniden başlatma gerekmiyor. Elle güncelleme için CLI'da contentscannerupdate komutu, otomatik güncelleme için Security Services altındaki Service Updates ayarı kullanılıyor. Ana sürüm tarafında 15.5 için ilk düzeltilmiş sürüm 15.5.5-014, 16.5 için 16.5.0-780; 16.0 için Cisco "düzeltilmiş sürüme geçin" diyor. Secure Email Cloud Gateway müşterileri için işlem gerekmediği, düzeltilmiş paketin Cisco tarafından dağıtıldığı yazıyor. Geçici çözüm yok.

Aktif İstismar ve Kontrol

Cisco bildirimde "Ekim 2026'da Cisco PSIRT, bu açığın aktif olarak istismar edildiğini öğrendi" diyor; saldırgan, kampanya, hedef sayısı ya da başlangıç tarihi verilmiyor. Cisco, cihazda grep "System Security" system_logs komutuyla uzlaşma göstergesi bakılabileceğini, saldırganın kanıtları silmiş olabileceğini ve harici ağ ile güvenlik duvarı kayıtlarının da incelenmesi gerektiğini yazıyor. Küme (cluster) yapılarında ele geçirilen bir cihazda üyeler arası SSH özel anahtarlarına erişilmiş olabileceği için Cisco kümedeki her üyenin güvenli yapılandırmaya döndürülmesini öneriyor.

Benzer bir kritik açık ve CISA KEV süreci için NetScaler CVE-2026-88771 ve 88772 sayfasına bakabilirsiniz.

Bu Sayfada Ne Yok?

• Saldırgan ya da kampanya adı yok. Hiçbir kaynak bunu belirtmiyor; atıf yazılmadı.
• Etkilenen cihaz sayısı yok. Birincil kaynaklarda açıklanmadı.
• İstismarın başlangıç tarihi yok. Cisco yalnızca 'Ekim 2026' diyor.
• Exploit kodu ve teknik istismar adımları yok. Savunma için gerekli değil; yazılmadı.
• Fidye yazılımı bilgisi yok. CISA bu alanı 'Unknown' (bilinmiyor) olarak işaretledi; 'yok' demek değildir.
• Etkilenen kurum adları yok. Kaynaklarda verilmedi.
• Türkiye'ye özgü bir bildirim yok. Federal son tarih ABD kurumları içindir, Türkiye'deki kurumlar için bağlayıcı değildir.

Sık Sorulan Sorular

CVE-2026-76519 nedir?

Cisco Secure Email Gateway'de, kimlik doğrulaması gerektirmeden uzaktan root yetkisiyle komut çalıştırmaya izin veren CVSS 9.8 puanlı kritik bir açıktır.

Her Secure Email Gateway etkileniyor mu?

Hayır. File Reputation etkin ve bir posta politikasına atanmış olmalı, Content Scanner Tools sürümü de 25.3.0.5525'ten eski olmalı.

Yama nasıl uygulanır?

Content Scanner Tools'u 25.3.0.5525 veya sonrasına güncellemek yeterli; yeniden başlatma gerekmiyor. Ana sürüm tarafında 15.5.5-014 ve 16.5.0-780 düzeltilmiş sürümler olarak listeleniyor.

Geçici çözüm var mı?

Hayır. Cisco 'no workarounds available' yazıyor.

Açık istismar ediliyor mu?

Evet. Cisco aktif istismardan haberdar olduğunu yazıyor ve CISA açığı KEV kataloğuna ekledi. İstismarın ölçeği açıklanmadı.

Eski Cisco açığıyla karıştırılmamalı mı?

Evet. 2024'teki CVE-2024-20401 aynı başlığı taşıyan ayrı bir açıktır. Bu sayfadaki doğru kimlikler CVE-2026-76519 ve cisco-sa-esa-afw-zqYJkjxp'tir.

Kaynak ve kapsam: Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp (14 Ekim 2026), NVD kaydı CVE-2026-76519 ve CISA Known Exploited Vulnerabilities kataloğu. Saldırgan atfı, etkilenen cihaz sayısı, istismarın başlangıç tarihi ve istismar ayrıntıları kaynaklarda bulunmadığı veya bu sitede yazılmadığı için sayfada yoktur.