Cisco Secure Email Gateway и SD-WAN Manager: проверка исправлений и сохранение свидетельств компрометации

Что это

Состояние на 25 октября 2026 года. Статья опирается на бюллетень Cisco для почтовой системы версии 1.0 от 14 октября 2026 года и бюллетень для SD-WAN версии 1.1 от 2 октября 2026 года. Прежде чем действовать, заново проверьте оба бюллетеня, таблицы исправленных выпусков и инструкции службы поддержки по восстановлению.

CVE-2026-76519 затрагивает обработку файлов в Secure Email Gateway; CVE-2026-76504 позволяет обойти аутентификацию в Catalyst SD-WAN Manager. CISA внесло их в свой каталог эксплуатируемых уязвимостей 14 октября и 30 сентября 2026 года соответственно. Запись для почтовой системы, запись для SD-WAN.

Почему это важно

Оценивайте подверженность уязвимости, установку исправлений и расследование компрометации по отдельности. Процедура восстановления Cisco SD-WAN прямо требует собрать свидетельства до обновления, после чего их должна проанализировать служба поддержки. После сбора свидетельств откладывать обновление до получения результатов этой проверки не следует. Применяйте процедуру восстановления для затронутого продукта и типа развёртывания; общей рекомендации восстановиться из резервной копии недостаточно.

Как применять

• Подверженность почтовой системы и исправление: проверьте, назначен ли AMP File Reputation почтовой политике и установлена ли версия Content Scanner Tools ниже 25.3.0.5525. Исправленные выпуски AsyncOS — 15.5.5-014 и 16.5.0-780; с 16.0 необходимо перейти на другую ветку. Для более старых веток Cisco рекомендует 16.5.0-780. Поддерживаемые выпуски с лицензией также могут получить исправленный пакет сканера. Бюллетень для почтовой системы.
• Проверка почтовой системы: выполните contentscannerstatus; при необходимости запросите обновление вручную командой contentscannerupdate; затем ещё раз убедитесь, что установлена версия 25.3.0.5525 или новее. Обновление этого пакета не требует перезагрузки. На каждом узле кластера проверьте:

grep "System Security" system_logs

Передайте сообщения о возможной компрометации или незавершённом сканировании в службу поддержки Cisco. Сопоставьте их с внешними сетевыми журналами.

• Восстановление почтовой системы: сначала сохраните свидетельства. Если есть подозрение на компрометацию виртуальных устройств, разверните им замену с исправлениями, заново создайте конфигурацию без импорта старых файлов и замените учётные данные и криптографические материалы. Восстановите каждый узел затронутого кластера. Для восстановления физических устройств требуется служба поддержки Cisco. Продолжайте наблюдение.
• Исправления SD-WAN: выпуски ниже соответствующего порога уязвимы независимо от конфигурации. Используйте таблицу первых исправленных выпусков производителя:

Ветка выпусков	Первый исправленный выпуск
Ранее 20.9	Перейти на исправленный выпуск
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1

Механизм Live Protect даёт временную частичную защиту, но не устраняет уязвимость. На время подготовки обновления ограничьте доступ к управлению доверенными узлами. Бюллетень для SD-WAN.

• Расследование в SD-WAN: до обновления соберите вывод request admin-tech со всех экземпляров Manager, включая узлы кластера и аварийного восстановления. Выберите Log и Tech. Обновите все узлы, затем передайте собранные пакеты в службу поддержки Cisco для поиска индикаторов; при обнаружении компрометации выполните её дополнительные инструкции по восстановлению. Оставайтесь в пределах текущей основной версии, если поддержка не укажет иное. Процедура устранения уязвимости и восстановления.
• Анализ журналов SD-WAN: сопоставьте неожиданную активность аутентификации в /var/log/nms/containers/service-proxy/serviceproxy-access.log и /var/log/nms/vmanage-server.log с адресами, которым доступ не разрешён. В руководстве по устранению уязвимости каталог контейнера записан иначе — service_proxy; при необходимости уточните локальный путь у поддержки. Отсутствие журнала не означает, что всё в порядке. Одни лишь зарезервированные имена служебных учётных записей не доказывают компрометацию. Сохраните находки для поддержки, а не удаляйте учётные записи только из-за совпадения имени.

Подводные камни

Запрос на обновление сканера не доказывает, что новая версия установлена. Аналогично, неудачно завершившаяся проверка безопасности не подтверждает отсутствие проблем. Перед закрытием инцидента сохраните в записи о приёмке работ итоговую версию каждого узла, ссылку на пакет свидетельств, заключение расследования и незавершённые задачи восстановления.