機櫃背面多台上下堆疊的伺服器，左側藍色面板顯示 MAC 位址與序號，右側接著白色網路線，機身貼著條碼資產標籤 — 示意圖（資料照片），2011 年拍攝的美國能源部 NERSC 資料中心機櫃背面；僅示意資料中心設備，不是本案受影響的 Cisco Secure Email Gateway，與本次漏洞事件無關。Derrick Coetzee 攝，CC0，Wikimedia Commons。

資安Cisco郵件閘道KEV

Cisco 郵件閘道相隔一個月再有 9.8 分漏洞遭利用：特製附件的郵件可能讓攻擊者寫檔並以 root 執行指令，CISA 列入 KEV；9 月那次列的 16.0 修補版，這次表上沒有

趨勢新聞2026 年 10 月 15 日

Cisco 在 2026 年 10 月 14 日 16:00（世界協調時間）發布 Critical（重大）等級安全公告：郵件安全閘道 Cisco Secure Email Gateway 的進階惡意程式防護（AMP）功能有相對路徑穿越漏洞 CVE-2026-76519，CVSS 3.1 分數 9.8。未經驗證的遠端攻擊者只要寄一封帶特製附件的郵件經過受影響的設備，就可能在底層作業系統寫入任意檔案，並以 root 權限執行指令。公告說 Cisco 產品資安事件應變小組 10 月得知它已遭利用，沒有暫時解法。CISA 同日把它列入已知遭利用漏洞目錄（KEV），條目列的處置期限是 10 月 17 日。

兩份公告相隔正好一個月。9 月 14 日 Cisco 公告同一產品的 CVE-2026-76461，也是 9.8 分，攻擊者寄出含惡意 SQL 敘述的特製郵件就可能觸發，也已遭利用，CISA 同日列入 KEV。本站把兩份公告並排，看條件、修補版與調查建議差在哪裡。

這次多了兩個功能與版本條件

依 10 月的公告，實體與虛擬的郵件閘道都可能受影響，前提是執行有漏洞的 AsyncOS 版本，並同時符合兩個條件：一是 AMP 底下的檔案信譽（File Reputation）服務已啟用、並套用到郵件政策；二是內容掃描工具（Content Scanner Tools）的版本早於 25.3.0.5525。公告附了查法：在管理介面的郵件政策裡看是否勾選啟用檔案信譽，在命令列用 contentscannerstatus 查掃描工具版本。9 月的 CVE-2026-76461 是郵件解析邏輯的 SQL 注入，公告寫，執行受影響版本的設備「不論設定」都受影響。

來源也不同。10 月這個寫明是 Cisco 內部資安掃描時發現，9 月那個是在處理技術支援（TAC）案件時發現；兩份公告都寫，Cisco 在發布當月知道漏洞已遭利用。兩次都不影響 Secure Email and Web Manager 與 Secure Web Appliance。

修補表的主要差別在 16.0 線

兩份公告列的第一個修補版，15.5 線都是 15.5.5-014（9 月那列寫「15.5 及更早版本」，10 月只寫「15.5」），16.5 線都是 16.5.0-780，也都建議 16.5 以前的版本直接遷移到 16.5.0-780。差別在 16.0 線：9 月列的是 16.0.4-302，10 月這格寫「遷移到修補版本」，沒有列 16.0 線的版本號。依兩張表推論，9 月為了 CVE-2026-76461 升到 16.0.4-302 的設備，這次不能只看版本號就當作已修好。

這次另有一條不必升級系統的路：修補同時以內容掃描工具更新包發給所有有授權、仍在支援期的 AsyncOS 版本，25.3.0.5525 以上就含修補，套用不需要重新開機。開啟自動更新的設備套用完就不必再動，關掉自動更新的要用 contentscannerupdate 手動更新。就掃描工具更新而言，雲端版 Secure Email Cloud Gateway 的用戶不必動作，Cisco 說修補版已經部署；但 Cisco 直接通知過可能遭入侵的雲端客戶，公告仍建議他們更新設備上的認證資訊與密碼學材料。

先留證據，再重建

10 月的公告給了入侵跡象的查法：在命令列對 system_logs 搜尋「System Security」，出現「Suspected compromise indicator was found」，公告的對照表判定為偵測到入侵，要照建議處置；出現「Security scan did not complete」要找 TAC。Cisco 提醒，攻擊者取得 root 後可能刪除或隱藏痕跡，要另外比對設備以外的網路與防火牆紀錄，例如設備發起、非預期的對外部 IP 上傳，或從惡意 IP 下載。

懷疑虛擬設備已被入侵時，公告的順序是：先依公司事件處理政策保存鑑識資料，因為「升級已遭入侵的執行個體會破壞鑑識資料與紀錄」；再部署執行修補版的新虛擬機、不匯入舊設定檔重建設定、更新設備上的認證資訊與所有密碼學材料，之後持續監控異常行為。叢集成員之間用 SSH 金鑰互相驗證，一台被入侵，金鑰可能外流，Cisco 建議把同一叢集的每台都恢復到安全設定。實體設備則建議聯絡 TAC。KEV 條目也標示這筆要依 CISA 的鑑識初判要求（Forensics Triage Requirements）辦理，forensicTriage 欄為「是」。CISA 的 KEV 目錄目前只有兩筆 Secure Email Gateway 的條目，就是 9 月 14 日與 10 月 14 日這兩筆。

原文 Cisco 安全公告 cisco-sa-esa-afw-zqYJkjxp（CVE-2026-76519，1.0 版，2026-10-14），受影響條件、修補表、內容掃描工具更新、入侵跡象、還原建議與漏洞來源取自該頁；Cisco 安全公告 cisco-sa-esa-inj-2bLVGmhX（CVE-2026-76461，1.1 版，2026-09-17 更新），9 月的漏洞類型、修補表與來源取自該頁；CISA 已知遭利用漏洞目錄（10 月 14 日版 JSON），列入日、期限、鑑識分級欄與 Secure Email Gateway 條目數取自該檔。兩份修補表的對照與推論由本站進行。