Cisco mengonfirmasi bahwa penyerang sudah mengeksploitasi celah kritis baru di Cisco Secure Email Gateway (perangkat yang menyaring email masuk dari spam dan malware) dalam serangan aktif. Celah ini tercatat sebagai CVE-2026-76519 dengan skor CVSS 9.8 — nyaris sempurna. Artinya: pengirim email biasa, tanpa perlu login, bisa menulis file ke sistem operasi perangkat gateway, dan bila berhasil, menjalankan perintah sebagai root.

Bagi instansi pemerintah, desa, sekolah, maupun UMKM yang menjalankan gateway email sendiri, ini bukan berita yang bisa ditunda. Terlebih, ini sudah kali ketiga Cisco mengonfirmasi celah tingkat root di perangkat kelas ini diserang secara nyata sejak Desember lalu. Berikut rangkuman faktanya dan langkah perbaikannya.

Apa yang Sebenarnya Terjadi

Modus serangannya sederhana namun berbahaya. Penyerang mengirim email dengan lampiran yang dirancang khusus ke gateway. Jika celahnya belum ditambal, file lampiran itu lolos ke sistem operasi perangkat, bukan sekadar tersaring sebagai spam. Cisco menemukan celah ini dari pemindaian keamanan internal, lalu menyadari adanya serangan pada Oktober 2026.

Cisco tidak mengungkap berapa perangkat yang diserang, siapa pelakunya, atau apakah penyerang benar-benar berhasil mendapatkan akses root. Yang sudah dilakukan: Cisco menghubungi pelanggan layanan managed Secure Email Cloud yang menunjukkan indikasi kompromi untuk dilakukan pemulihan.

Siapa yang Berisiko

Menurut advisori Cisco, ada dua syarat yang harus terpenuhi bersamaan agar sebuah gateway rentan:

• Layanan File Reputation (bagian dari fitur Advanced Malware Protection/AMP untuk menangani lampiran) dalam keadaan aktif dan ditugaskan ke sebuah mail policy; dan
• Versi paket Content Scanner Tools masih lebih lama dari 25.3.0.5525.

Penting dicatat: hanya gateway email yang terdampak. Produk Secure Email and Web Manager dan Secure Web Appliance tidak terpengaruh. Gateway fisik maupun virtual yang berjalan pada rilis AsyncOS rentan sama-sama berisiko.

Langkah Perbaikan (Lakukan Hari Ini)

Kabar baiknya, perbaikannya bisa sangat cepat: tambalan sudah mulai dikirim Cisco sejak 14 September 2026. Ikuti urutan berikut.

1. Cek versi Content Scanner Tools lebih dulu. Masuk ke CLI gateway dan jalankan perintah contentscannerstatus. Pastikan versinya sudah 25.3.0.5525 atau lebih baru — jangan sekadar mengasumsikan pembaruan otomatis sudah masuk.
2. Perbarui pemindai. Bila pembaruan otomatis dimatikan, jalankan contentscannerupdate di CLI, atau nyalakan pembaruan otomatis melalui menu Security Services > Service Updates. Pembaruan ini tidak butuh upgrade perangkat lunak dan tidak perlu restart.
3. Perbarui AsyncOS ke rilis perbaikan. Build pertama yang sudah diperbaiki adalah 15.5.5-014 untuk jalur 15.5 dan 16.5.0-780 untuk jalur 16.5.
4. Khusus pengguna 16.0: tidak ada build perbaikan untuk jalur ini. Cisco menyarankan semua gateway di bawah 16.5 bermigrasi ke 16.5.0-780. Perlu diingat, gateway 16.0.4-302 hanya menambal celah injeksi SQL September lalu, bukan celah ini.
5. Catat dan dokumentasikan versi sebelum dan sesudah pembaruan sebagai bukti audit internal.

Cisco menegaskan tidak ada cara pengalihan risiko (workaround) untuk celah ini. Satu-satunya jalan adalah menambal.

Cara Memeriksa Indikasi Kompromi

Advisori Cisco menyertakan pemeriksaan keamanan yang bisa dijalankan di perangkat. Ada tiga kemungkinan hasil, dan masing-masing menuntut respons berbeda:

• "Suspected compromise indicator was found" — indikasi kompromi ditemukan. Ikuti langkah pemulihan dari Cisco.
• "Security scan did not complete" — pemindaian tidak selesai. Segera hubungi Cisco Technical Assistance Center (TAC).
• "No compromise indicator was found" — tidak ada indikasi kompromi. Tetap perbarui perangkat bila masih berada di rilis yang rentan.

Jika Perangkat Terlanjur Dibobol

Untuk gateway virtual yang menunjukkan tanda-tanda kompromi, panduan Cisco adalah membangun ulang perangkat dengan kredensial baru. Perhatian serius: meng-upgrade instance yang sudah dikompromi justru menghapus data dan log forensik. Jadi amankan bukti terlebih dahulu, jangan langsung menambal sambil berharap masalah selesai.

Konteks dan Pelajaran untuk Pengelola TI

Ini adalah celah kedua di Secure Email Gateway yang dikonfirmasi diserang dalam kurun satu bulan. Pada 14 September, Cisco mengungkap CVE-2026-76461, sebuah injeksi SQL pada proses parsing email yang juga memungkinkan pengirim tanpa autentikasi menjalankan perintah sebagai root. Celah itu langsung dimasukkan CISA ke katalog Known Exploited Vulnerabilities pada hari yang sama. Sebelumnya, pada Desember lalu, grup yang dilacak Cisco Talos sebagai UAT-9686 memakai zero-day di fitur karantina spam (CVE-2025-20393) yang baru ditambal Januari.

Polanya jelas: perangkat keamanan yang menjadi "pintu depan" email justru menjadi target favorit karena posisinya strategis dan sering jarang diperbarui. Untuk instansi yang memakai email berbasis cloud (Google Workspace atau Microsoft 365), risikonya berbeda tetapi disiplinnya sama: pastikan proteksi lampiran dan pemindaian malware tidak dimatikan, aktifkan autentikasi dua faktor untuk seluruh staf, dan ingatkan ASN agar tidak membuka lampiran mencurigakan meski pengirimnya tampak rekan kantor.

Langkah paling praktis hari ini: buka konsol gateway email Anda, cek versi Content Scanner Tools, lalu pastikan perangkat tidak berada pada rilis AsyncOS yang rentan. Butuh pendampingan audit dan penambalan server email kantor? Tim easystem.co.id siap membantu.

Sumber: The Hacker News — Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability; Advisori Keamanan Cisco (cisco-sa-esa-afw-zqYJkjxp); Cisco Secure Email Gateway Hardening Release.