Kritische Sicherheitslücke in Cisco Secure Email Gateway wird aktiv ausgenutzt

Cisco hat seine Kunden davor gewarnt, dass Angreifer eine kritische Nulltagelücke in der Secure Email Gateway Software aktiv ausnutzen, um beliebige Befehle mit Root-Rechten auszuführen. Das Unternehmen hat einen Sicherheitspatch veröffentlicht, um diese Schwachstelle zu schließen. Die Lücke, die als CVE-2026-76461 geführt wird, befindet sich in der E-Mail-Auswertung von Cisco AsyncOS Software und betrifft sowohl virtuelle als auch physische Geräte, unabhängig von der Konfiguration. Cisco erklärte, dass das PSIRT im September 2026 von der aktiven Ausnutzung dieser Schwachstelle erfuhr. Die Schwachstelle entsteht durch unzureichende Validierung in der Logik zur E-Mail-Auswertung. Ein Angreifer kann die Lücke ausnutzen, indem er eine manipulierte E-Mail-Nachricht mit bösartigen SQL-Anweisungen durch ein betroffenes Gerät sendet. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, beliebige SQL-Anweisungen auszuführen, was zur Ausführung von Befehlen mit Root-Rechten auf dem zugrunde liegenden Betriebssystem führt.

Cisco teilte Indikatoren für Kompromittierung mit und riet Netzwerkschützern, nach verdächtigen SQL-Anweisungen in den Mail-Logs jedes Clustergeräts zu suchen. Administratoren sollten zudem Netzwerk- und Firewall-Logs auf Anzeichen verdächtiger Aktivitäten prüfen, einschließlich Uploads und Downloads zu und von externen oder bösartigen IP-Adressen, da Angreifer Beweise für die Ausnutzung entfernen können. Die Internet-Sicherheitswacht Shadowserver verfolgt derzeit über 400 Cisco Secure Email Gateway Geräte, liefert jedoch keine Informationen darüber, wie viele davon Honigtöpfe sind oder bereits gegen Angriffe abgesichert wurden. Die Cybersecurity and Infrastructure Security Agency (CISA) fügte die CVE-2026-76461 Schwachstelle am Montag in ihren Katalog der bekannten ausgenutzten Schwachstellen ein und ordnete den Bundesbehörden an, ihre Systeme innerhalb von drei Tagen, bis zum 17. September, zu patchen.

Am Montag behandelte Cisco vier weitere kritische Schwachstellen, die Secure Email Gateway und Secure Email and Web Manager Geräte betreffen, erklärte jedoch, dass es keine Beweise für eine Ausnutzung in der Wildnis gibt. Im Januar patchte das Unternehmen auch eine Cisco AsyncOS Schwachstelle mit maximaler Schwere, die seit November 2025 in Nulltagangriffen gegen SEG und SEWM Geräte ausgenutzt wurde. Kürzlich enthüllte Cisco, dass drei separate Ransomware- und staatlich geförderte Bedrohungsgruppen zwei kürzlich gepatchte Secure Firewall Management Center Schwachstellen ausgenutzt haben. Seit November 2021 hat CISA 98 Cisco-Schwachstellen als aktiv in Angriffen ausgenutzt markiert, einschließlich sieben, die von Ransomware-Gangs missbraucht wurden.