思科于 2026 年 10 月 14 日发布公告，修复 Cisco Secure Email Gateway（SEG）高级恶意软件防护（AMP）功能中的相对路径遍历漏洞 CVE-2026-76519，CVSS 3.1 评分 9.8。未认证的远程攻击者只需发送一封带特制附件的邮件，即可写入任意文件并以 root 权限执行命令。思科 PSIRT 已确认在野利用，CISA 同日纳入 KEV 目录，联邦机构整改期限 10 月 17 日。
事件概述
SEG 部署在企业邮件链路最前端，物理与虚拟实例均受影响。漏洞位于 AMP 的 File Reputation（文件信誉）服务——思科将根因描述为「启用文件信誉服务时对邮件附件的处理不当」，即按信誉查询路径落地文件的组件未正确过滤路径，写入位置由攻击者控制。
受影响设备需同时满足两个条件：File Reputation 已启用并绑定到至少一条邮件策略；Content Scanner Tools 版本低于 25.3.0.5525。受影响 AsyncOS 版本为 15.5（早于 15.5.5-014）、16.0 全线、16.5（早于 16.5.0-780）。Secure Email and Web Manager、Secure Web Appliance 不受影响，Cloud Gateway 无需操作。
技术细节
该漏洞被 CISA 归类为相对路径遍历（CWE-23），思科定性为任意文件写入。攻击链极短：发送邮件、网关扫描附件、扫描过程把文件写到攻击者指定路径，而邮件管线以高权限运行，写入即以 root 完成。攻击不需要凭据与用户交互，而网关职责本就是接收公网邮件，因此 CISA 将其利用状态记为 active、技术影响记为 total。截至 10 月 15 日双方均未声明存在公开 PoC。
影响评估
这是一个月内该产品第二个被在野利用的未认证 root 漏洞——上一个 CVE-2026-76461 是邮件解析环节的 SQL 注入，9 月中旬同样进入 KEV。邮件网关掌握解密配置、路由策略与全部入站邮件，失守后攻击者不仅读取邮件，还可横向进入内网。取证同样棘手：取得 root 后可删除或隐藏日志，思科因此建议不要只看本机日志。
修复建议
1. 确认暴露面：在 Mail Policies 的 Advanced Malware Protection 设置中查看 Enable File Reputation 是否勾选；用 contentscannerstatus 查看 Content Scanner Tools 版本。
2. 最快的处置是把 Content Scanner Tools 升级到 25.3.0.5525 或更高——该包更新不需要升级固件、也不需要重启设备，几分钟即可关闭攻击入口；关闭自动更新的环境可执行 contentscannerupdate 后核对版本。随后按计划把 AsyncOS 升级到 15.5.5-014 或 16.5.0-780（16.0 及更早建议直接迁移）。思科明确表示没有绕过方案。
3. 排查与取证：在集群每台设备上执行 grep "System Security" system_logs。返回「Suspected compromise indicator was found」表示已确认失陷，须立即响应；「Security scan did not complete」属疑似失陷，需联系 TAC。
4. 本机日志不可信，须交叉核对设备之外的 syslog、防火墙与 NetFlow，关注从网关发往外部 IP 的异常上传。虚拟实例疑似失陷时应在修复版本上新建虚拟机并重建配置，并更换全部凭据与密钥材料。集群任一成员失陷，整个集群需恢复。