Cisco åtgärdar noll-dag-sårbarhet i Secure Email Gateway som utnyttjats i attacker

Cisco har varnat sina kunder om en kritisk noll-dag-säkerhetsbrist i Secure Email Gateway som har utnyttjats av hotaktörer i pågående attacker.

Sårbarheten, som identifieras som CVE-2026-76461, finns i e-postanalysen i Cisco AsyncOS Software för Secure Email Gateway. Den påverkar både virtuella och fysiska enheter, oavsett hur enheten är konfigurerad. Cisco PSIRT blev medvetna om att sårbarheten utnyttjades aktivt i september 2026.

Bristen beror på otillräcklig validering i logiken för e-postanalys. En obehörig fjärranvändare kan utnyttja detta genom att skicka ett specialutformat e-postmeddelande som innehåller skadliga SQL-satser via en drabbad enhet. Detta kan leda till att angriparen kan köra godtyckliga SQL-satser och därmed utföra kommandon med root-behörighet i det underliggande operativsystemet.

Cisco har delat indikatorer på intrång och råder nätverksförsvarare att leta efter misstänkta SQL-satser i varje klusterenhets e-postloggar. Administratörer bör även kontrollera nätverks- och brandväggsloggar efter tecken på misstänkt aktivitet, såsom upp- och nedladdningar till eller från externa eller skadliga IP-adresser, eftersom angripare kan ta bort bevis på utnyttjandet.

Cybersecurity and Infrastructure Security Agency, CISA, lade på måndagen till sårbarheten i sin katalog över kända utnyttjade sårbarheter. Federala myndigheter har beordrats att åtgärda sina system senast den 17 september.

Säkerhetsövervakaren Shadowserver spårar för närvarande över 400 enheter av Secure Email Gateway, men det framgår inte hur många av dessa som är honungspottar eller redan har säkrats. Cisco åtgärdade samtidigt fyra andra kritiska sårbarheter i Secure Email Gateway och Secure Email and Web Manager, men företaget uppgav att det inte finns bevis för att dessa har utnyttjats.

Tidigare har företaget hanterat andra allvarliga brister. I januari åtgärdades en sårbarhet i Cisco AsyncOS som utnyttjats sedan november 2025. Cisco har även avslöjat att tre olika grupper, inklusive statsstödda aktörer och ransomware-grupper, utnyttjat två sårbarheter i Secure Firewall Management Center. Sedan november 2021 har CISA markerat 98 sårbarheter från Cisco som aktivt utnyttjade, varav sju har missbrukats av ransomware-gäng.