先說結論：管理 Cisco Secure Email Gateway 的團隊，不能只看設備是否已更新主程式，也要逐台確認郵件政策與內容掃描工具的實際版本。美國 CISA 在二○二六年十月十四日把 CVE-2026-76519 納入已知遭利用漏洞目錄；Cisco 原廠同日發布公告，說明攻擊者在特定設定與舊版組合下，可能透過郵件附件處理問題向設備寫入任意檔案，進而在底層系統以高權限執行指令。這是有實際利用紀錄的事件，不是所有 Cisco 郵件產品都受影響，也不是只要收到電子郵件就能斷定自己已遭入侵。本文於台北時間十月十五日重新查核 CISA 原始目錄與 Cisco 公告。對符合條件的設備，應優先核對修正是否真正部署，若懷疑曾遭利用，還要保存證據並依原廠程序調查與恢復。
背景與前因：Secure Email Gateway 是部署在電子郵件流量路徑上的防護設備，可以是實體機，也可以是虛擬機，主要用於過濾惡意郵件與附件。Cisco 的 Advanced Malware Protection，簡稱 AMP，是其進階惡意程式防護功能；其中的檔案信譽服務會對附件做判斷。此次原廠公告的重點不是一般使用者的郵件帳號，而是閘道在啟用該服務時如何處理經過設備的附件。Cisco 將漏洞評為最高層級的重大問題，CVSS 第三版基本分數為 9.8。評分描述技術危害，不提供受害名冊。CISA 的新增條目則是獨立的威脅優先訊號，表示此編號已有已知遭利用證據；兩種資料回答的是不同問題，必須同時看才能規畫修補和事件應變。
原因與前置條件：Cisco 原廠指出，問題出在啟用檔案信譽服務時，對郵件附件的處理不當。對外的郵件流量可觸及此流程；若受影響設備在脆弱配置中處理特製附件，未登入的遠端攻擊者可能使任意檔案寫入底層作業系統，並進一步執行指令。所謂任意檔案寫入，是程式把資料放到本來不應由外部輸入控制的位置；風險可延伸至控制設備，而不只是某封郵件判斷錯誤。本文不提供附件製作或利用細節。這項問題與網站後台密碼被猜中不同，因此只檢查管理員帳號強度，無法替代漏洞修補；反過來說，也不能把所有與 Cisco 郵件有關的設備一概判定符合受影響前提。
影響範圍：原廠公告對實體及虛擬 Secure Email Gateway 設定了三道核對關卡。首先，設備須執行受影響的 AsyncOS 版本；AsyncOS 是此郵件閘道使用的作業軟體。其次，AMP 的檔案信譽服務必須已啟用且套用到某項郵件政策；只看到功能存在於選單，不足以證明它正在相應政策中運作。第三，設備的 Content Scanner Tools，也就是內容掃描工具套件，版本要早於 25.3.0.5525。三個條件須一併檢視。若掃描工具已更新至 25.3.0.5525 或之後，公告稱該套件含有修正；但仍要讀回每台設備的執行版本與政策設定，不能只依自動更新已開啟或維護單已結案來判定。
原廠給出的 AsyncOS 首個修正版分支也有差異：15.5 支線為 15.5.5-014，16.5 支線為 16.5.0-780；對 16.0 支線，公告要求遷移至已修正發行版。Cisco 進一步建議仍在 16.5 以前的客戶遷移到 16.5.0-780，並指出受支援且具授權的版本也可透過更新掃描工具套件取得這項修正。後者的更新無須重新啟動設備，但『無須重啟』不代表『無須驗證』。維運人員應記錄更新前後的掃描工具版本、AsyncOS 分支與時間，確認所有節點都取得套件。若版本、授權或硬體相容性有疑問，應依 Cisco 公告及支援管道選擇適當路徑，不把某一個版號套用到所有環境。
產品名稱相近也容易造成誤判。Cisco 在此公告明確表示 Secure Email and Web Manager 與 Secure Web Appliance 不受這個編號影響；它們的功能及修補程序不能直接與 Secure Email Gateway 畫上等號。對 Cisco 管理的 Secure Email Cloud Gateway，原廠表示已在其基礎設施部署修正，該服務的客戶就這項修補無須自行操作。這不代表同一組織自建的實體或虛擬閘道也已完成更新。本站先前曾有 Cisco Secure Email Gateway 的 CVE-2026-76461 文章，但那是另一個漏洞編號；今天的附件處理與掃描套件條件，應另列成獨立盤點項目，不應把兩篇視為同一事件或重複草稿。
Cisco 的產品安全事件應變團隊表示，在二○二六年十月已得知此漏洞遭積極利用。CISA 於十月十四日新增的 KEV 條目，也把它列為已知遭利用，而不是只說可能被利用。CISA 給出的十月十七日處置期限屬其美國聯邦機關政策脈絡，不應寫成台灣每家公司都有相同法定期限；企業仍應依實際暴露與自身應變流程迅速行動。目錄中的勒索軟體關聯欄位標示未知，不能把這個漏洞逕行歸給某個勒索團體。已知遭利用不等於每台落在受影響條件中的設備均被入侵，也不能因組織未收到警報，就推定從未遭接觸。
你可以怎麼做：先建立所有閘道清單，含正式環境、備援、虛擬設備和叢集成員，記下軟體分支、建置號、內容掃描工具版本、檔案信譽服務是否啟用，以及它是否實際套用到郵件政策。Cisco 公告列有檢查政策與讀取掃描工具版本的方法；由授權管理員依原廠步驟操作即可，不必在公開文章轉貼可被誤用的完整指令。對符合受影響條件的節點，按公告選擇修正版本或更新掃描工具套件，更新後讀回結果，測試收發信、惡意附件判斷與其他重要業務流程。Cisco 表示沒有能完整處理此漏洞的替代解法，因此暫時收緊管理介面存取或增加監控，只能作為輔助，不能當作修補完成。
若懷疑曾遭攻擊，處理順序須與一般例行升級不同。Cisco 指出，成功利用後攻擊者可能取得底層高權限，並移除或掩藏設備內的部分痕跡，因此應把設備日誌與防火牆、網路等外部記錄交叉比對；單一『沒有發現指標』的設備訊息不足以排除所有可能。對虛擬設備，原廠建議先依事件處理政策保存可用鑑識資料，再以乾淨的修正版虛擬機與重新建置的設定恢復，並視情況更新設備上的憑證和加密材料。對疑似受害的實體設備則應尋求 Cisco 技術支援。若設備加入叢集，原廠提醒成員間用於驗證的金鑰可能受波及，調查不能只停在最先出現異常的一台。
目前可確認的是：Cisco 原廠已說明產品、組態、掃描套件版本、修補方式及積極利用通報，CISA 已將此編號列入遭利用目錄。公開資料無法替各組織回答哪台設備正在使用脆弱組合、郵件政策實際如何配置、套件是否已自動更新，或本地是否留有可信的入侵證據。維運團隊應把『是否符合漏洞前提』、『是否已部署修正』與『是否需要事件調查』分別留下可核對的結果；這也能避免把正常的套件更新紀錄誤當修補證明，或把沒有個案證據的危害推成已發生的資料外洩。後續如原廠修改公告，仍須按當時最新資訊重新核對。
官方來源：
- Cisco Secure Email Gateway Arbitrary File Write Vulnerability（Cisco）
- Known Exploited Vulnerabilities Catalog, CVE-2026-76519（美國網路安全暨基礎設施安全局 CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。