Cisco邮件网关9.8分漏洞被在野利用：一封邮件直接拿root，没有任何绕过的余地

Cisco Secure Email Gateway存在CVE-2026-76461漏洞，CVSS 9.8分，攻击者发送特制邮件即可在网关上以root权限执行命令，目前已被在野利用，请立即升级到16.5.0-780版本。 干安全的都知道，邮件网关是企业的”大门”。所有进出的邮件都要经过它扫一遍，病毒、钓鱼、垃圾邮件全靠它挡着。但9月14日，Cisco自己证实了一个让安全负责人坐不住的消息：Secure Email Gateway存在一个9.8分的严重漏洞，编号CVE-2026-76461，已经在被在野利用。 讽刺的是，这个专门用来挡邮件的设备，自己扛不住一封精心构造的邮件。 一、漏洞有多严重：发封邮件就是root 漏洞性质是SQL注入，存在于Cisco AsyncOS软件的邮件解析逻辑里。邮件网关在处理邮件内容时对数据校验不够严格，攻击者可以在邮件里嵌入恶意SQL语句。 网关收到这封邮件之后，会把这些SQL语句当合法指令执行，最终在底层操作系统上以root权限运行攻击者的命令。整个过程不需要身份验证，不需要用户交互，甚至不需要目标打开邮件——网关自己解析邮件的时候就中招了。 CVSS评分9.8分，差0.2分满分。Cisco在官方公告里写得很清楚：没有变通方案，没有缓解措施，唯一的办法就是升级。 二、为什么这个漏洞特别要命 邮件网关在企业网络里的位置很特殊。它是边界设备，直接暴露在互联网上，接收来自任何地方的邮件。同时它又有很高的系统权限，要深度检查邮件内容，要能操作邮件队列，要能和内部的邮件服务器、目录服务通信。 一旦被攻破，攻击者拿到的不是普通用户权限，是root。这意味着： 他们可以在网关上装后门，长期监听所有进出邮件；可以把网关当跳板往内网渗透；可以拦截或篡改关键邮件，比如合同、发票、密码重置链接；甚至可以利用网关的身份给内部员工发钓鱼邮件——内部邮件的信任度天然就高。 邮件网关是安全设备，但一旦被攻破，反而成了攻击者手里最好用的武器。 三、哪些版本受影响，怎么升级 受影响版本：15.5及更早版本、16.0、16.5。修复版本：15.5.5-014、16.0.4-302、16.5.0-780。Cisco强烈建议直接升到16.5.0-780，不要再停留在15.x或16.0。 用Cisco Secure Email Cloud（云端版本）的用户，Cisco说已经直接联系了检测到恶意活动的客户。但云端用户自己也应该主动去确认，别等着别人通知。 四、怎么排查：看日志找SQL语句 Cisco给的排查思路：检查邮件网关的mail_logs日志，搜索可疑SQL语句。官方示例命令是用grep搜索”COPY.*TO PROGRAM”这个模式。搜到了结果，说明这台设备很可能被攻击过。 但要注意，攻击者拿到root权限之后是可以清理日志、隐藏痕迹的。所以不能只看邮件网关自己的日志，还要交叉检查网络设备、防火墙的日志，看有没有异常外联，比如邮件网关主动向外部IP上传数据，或者从可疑IP下载了什么东西。 用虚拟化部署的用户，还要检查底层虚拟化平台，确认攻击者有没有顺着网关往上爬。 五、边界设备的安全债该还了 这几年边界设备被攻破的案例越来越多。VPN、防火墙、邮件网关、SSL加速器，这些本该是保护内网的第一道防线，反而成了攻击者最喜欢的入口。原因不复杂：暴露在互联网上，攻击面大；跑着实时服务，不能随便下线维护；固件更新麻烦，很多企业一拖再拖。 邮件网关尤其尴尬。它的功能就是处理邮件，而邮件天然就是不可信的。你不能指望所有发件人都是好人，所以邮件网关必须把每一封邮件都当成潜在的恶意邮件来处理。但现实是，很多邮件网关自己的代码就没有按这个标准来写。 安全团队应该趁这个机会重新审视所有边界设备的状态：固件版本是不是最新的，有没有开启不必要的功能，管理接口有没有暴露在互联网上，日志有没有集中收集和分析。这些基础工作平时看着不起眼，关键时候能救命。