Cisco Secure Email Gateway e SD-WAN Manager: verificar correções e preservar evidências de comprometimento

O que é

Situação em 25 de outubro de 2026. Este artigo usa a versão 1.0 do comunicado da Cisco sobre e-mail, de 14 de outubro de 2026, e a versão 1.1 do comunicado sobre SD-WAN, de 2 de outubro de 2026. Antes de agir, consulte novamente os dois comunicados, suas tabelas de versões corrigidas e as instruções de recuperação do suporte.

A CVE-2026-76519 afeta o tratamento de arquivos do Secure Email Gateway; a CVE-2026-76504 permite contornar a autenticação no Catalyst SD-WAN Manager. A CISA as incluiu em seu catálogo de vulnerabilidades exploradas em 14 de outubro e 30 de setembro de 2026, respectivamente. Entrada sobre e-mail, entrada sobre SD-WAN.

Por que importa

Trate a exposição, a instalação de correções e a investigação de comprometimento como decisões separadas. O fluxo de recuperação de SD-WAN da Cisco exige explicitamente coletar evidências antes da atualização, com posterior análise pelo suporte. Depois da coleta das evidências, a atualização não deve aguardar os resultados dessas verificações. Aplique o procedimento de recuperação correspondente ao produto afetado e ao tipo de implantação; uma instrução genérica de restauração a partir de backup é insuficiente.

Como aplicar

• Exposição e correção do e-mail: verifique se AMP File Reputation está atribuído a uma política de e-mail e se a versão do Content Scanner Tools é inferior a 25.3.0.5525. As versões corrigidas do AsyncOS são 15.5.5-014 e 16.5.0-780; a versão 16.0 exige migração. A Cisco recomenda 16.5.0-780 para linhas de versões mais antigas. Versões licenciadas ainda cobertas pelo suporte também podem receber o pacote corrigido do scanner. Comunicado sobre e-mail.
• Verificação do e-mail: execute contentscannerstatus; solicite uma atualização manual com contentscannerupdate quando necessário; depois, confirme novamente a versão 25.3.0.5525 ou posterior. Essa atualização de pacote não exige reinicialização. Em cada membro do cluster, examine:

grep "System Security" system_logs

Encaminhe ao suporte da Cisco as mensagens de suspeita de comprometimento ou de verificação incompleta. Cruze as informações com logs externos de rede.

• Recuperação do e-mail: preserve as evidências primeiro. Para appliances virtuais com suspeita de comprometimento, implante substitutos corrigidos, recrie a configuração sem importar arquivos antigos e renove credenciais e material criptográfico. Recupere todos os membros de um cluster afetado. A recuperação de appliances físicos exige o suporte da Cisco. Continue o monitoramento.
• Correções do SD-WAN: versões anteriores a cada limite aplicável são vulneráveis, independentemente da configuração. Use a tabela do fornecedor com as primeiras versões corrigidas:

Linha de versões	Primeira versão corrigida
Anterior à 20.9	Migrar para uma versão corrigida
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1

O escudo Live Protect oferece cobertura parcial temporária, mas não corrige a vulnerabilidade. Restrinja o acesso de gerenciamento a hosts confiáveis enquanto prepara a atualização. Comunicado sobre SD-WAN.

• Investigação do SD-WAN: colete a saída de request admin-tech de todos os Managers, incluindo os nós de cluster e de recuperação de desastres, antes de atualizar. Selecione Log e Tech. Atualize todos os nós e então envie os pacotes ao suporte da Cisco para verificação de indicadores; siga as instruções adicionais de recuperação quando for identificado comprometimento. Permaneça na versão principal atual, salvo orientação contrária do suporte. Fluxo de remediação.
• Revisão dos logs de SD-WAN: correlacione atividades inesperadas de autenticação em /var/log/nms/containers/service-proxy/serviceproxy-access.log e /var/log/nms/vmanage-server.log com endereços não autorizados. O guia de remediação, por sua vez, escreve o diretório do contêiner como service_proxy; confirme o caminho local com o suporte, se necessário. A ausência de um log não comprova que o sistema esteja livre de comprometimento. Nomes reservados de contas de serviço, por si só, não comprovam comprometimento. Preserve os achados para o suporte, em vez de excluir contas apenas porque o nome coincide.

Armadilhas

Solicitar uma atualização do scanner não comprova que a nova versão foi instalada. Da mesma forma, uma verificação de segurança que falhou não comprova ausência de comprometimento. Como registro de aceitação operacional, guarde a versão resultante de cada nó, a referência ao pacote de evidências, a conclusão da investigação e as tarefas de recuperação pendentes antes de encerrar o incidente.