Cisco warnt vor kritischer Schwachstelle im Secure Email Gateway mit aktiver Ausnutzung

Cisco hat eine Warnung zu einer Schwachstelle der höchsten Kritikalitätsstufe im Secure Email Gateway herausgegeben. Diese Lücke ermöglicht es Angreifern, ohne vorherige Authentifizierung manipulierte E-Mails zu senden, die zur Ausführung von Befehlen mit Root-Rechten auf dem Gerät führen. Das Unternehmen hat bestätigt, dass die Schwachstelle bereits in der Praxis ausgenutzt wurde.

Die betroffene Sicherheitslücke trägt die Kennung CVE-2026-76461 und weist einen CVSS-Wert von 9,8 auf einer Skala von 0 bis 10 auf. Die Ursache liegt laut Cisco in einer unzureichenden Validierung innerhalb der Logik zur Analyse von E-Mails. Dadurch können Angreifer bösartige SQL-Befehle über das betroffene Gerät einschleusen, was zur Ausführung von Systembefehlen mit höchsten Privilegien auf dem zugrunde liegenden Betriebssystem führt. Ein bestehender Benutzeraccount oder spezielle Berechtigungen auf dem Gerät sind für den Angriff nicht erforderlich; das bloße Senden einer E-Mail an das System genügt.

Die Auswirkungen betreffen sowohl physische als auch virtuelle Geräte des Cisco Secure Email Gateway, unabhängig von der jeweiligen Konfiguration. Andere Produkte wie der Secure Email and Web Manager sowie der Secure Web Appliance sind von dieser spezifischen Lücke nicht betroffen. Es existiert derzeit keine temporäre Lösung oder Umgehungsmöglichkeit, weshalb die Installation eines Updates die einzige wirksame Gegenmaßnahme darstellt. Cisco hat bereits korrigierte Versionen veröffentlicht: Für AsyncOS 15.5 und ältere Versionen ist das Update auf 15.5.5-0141 erforderlich, für AsyncOS 16.0 auf 16.0.4-302 und für AsyncOS 16.5 auf 16.5.0-780.

Cisco hat bekannt gegeben, dass die aktiven Angriffe in diesem Monat stattgefunden haben. Das Unternehmen hat Richtlinien zur Überprüfung von Eindringbeweisen veröffentlicht, die vorsehen, dass Administratoren die Mail-Logs durchsuchen, um verdächtige SQL-Befehle zu identifizieren. Bei Geräten, die in einer Cluster-Konfiguration laufen, müssen die Protokolle aller Mitglieder der Gruppe geprüft werden. Eine grundlegende Überprüfungsmethode besteht darin, mit dem Befehl grep nach Einträgen im IronPort Text Mail Logs zu suchen, die das Muster COPY...TO PROGRAM enthalten. Das Vorhandensein solcher Einträge kann auf schädliche Aktivitäten hindeuten.

Cisco hat Kunden des Cisco Secure Email Cloud, bei denen schädliche Aktivitäten festgestellt wurden, bereits individuell kontaktiert. Der genaue Umfang der Angriffe wurde jedoch noch nicht offengelegt. Da Angreifer mit Root-Rechten Beweise und Spuren auf dem Gerät löschen oder verbergen können, empfiehlt Cisco die parallele Überprüfung von Netzwerk- und Firewall-Protokollen außerhalb des Geräts. Dies umfasst beispielsweise das Hochladen von Daten an unerwartete externe IP-Adressen oder das Herunterladen von Inhalten von gefährlichen Quellen.

Die US-Behörde CISA hat die Schwachstelle CVE-2026-76461 in ihre Liste der bekannten ausgenutzten Schwachstellen aufgenommen. Für US-Regierungsbehörden der Kategorie FCEB wurde eine Frist zur Beendigung der Patches bis zum 17. September 2026 gesetzt. Organisationen, die das Cisco Secure Email Gateway einsetzen, sollten daher dringend ein Update planen und rückwirkend prüfen, ob ihre Geräte bereits Ziel eines Angriffs waren.