Cisco varnar för kritisk sårbarhet i Secure Email Gateway som utnyttjas aktivt

group of people having a meeting — Mario Gogh / Unsplash

Cisco har utfärdat en varning om en kritisk sårbarhet, identifierad som CVE-2026-76519, i Secure Email Gateway som för närvarande utnyttjas i faktiska attacker.

Sårbarheten gör det möjligt för obehöriga fjärranvändare att skicka specialutformade e-postmeddelanden med bifogade filer genom gatewayen. Detta tillåter angripare att skriva filer till enhetens operativsystem och potentiellt köra kommandon med root-behörighet utan att behöva autentisera sig. Sårbarheten har tilldelats ett CVSS-betyg på 9.8 och upptäcktes genom Ciscos egna interna säkerhetsskanningar, varvid attacker observerades i oktober 2026.

För att en enhet ska vara sårbar krävs att två villkor är uppfyllda: tjänsten File Reputation, som ingår i Advanced Malware Protection, måste vara aktiverad och kopplad till en e-postpolicy, samt att Content Scanner Tools version 25.3.0.5525 eller lägre används. Detta omfattar både fysiska och virtuella gatewayenheter som använder sårbar AsyncOS. Secure Web Appliance samt Secure Email and Web Manager påverkas inte.

Den snabbaste åtgärden är att uppdatera Content Scanner Tools till version 25.3.0.5525 eller högre, vilket kan göras utan att starta om enheten eller uppgradera programvaran. För AsyncOS finns rättningar i versionerna 15.5.5-014 och 16.5.0-780 sedan den 14 september 2026. Cisco rekommenderar att alla enheter med versioner lägre än 16.5 migrerar till 16.5.0-780, då version 16.0 saknar en korrigerad build. Det finns inga tillgängliga tillfälliga lösningar.

För kunder med hanterad Secure Email Cloud har Cisco redan installerat den korrigerade skannern och kontaktat kunder där tecken på intrång upptäckts. Administratörer kan söka efter System Security i systemloggarna, men Cisco varnar för att angripare med root-behörighet kan ha raderat spåren. Därför rekommenderas även granskning av brandväggs- och nätverksloggar för ovanliga dataöverföringar till externa IP-adresser.

Om en virtuell enhet har kompromitterats bör forensisk data samlas in innan en ny virtuell maskin skapas med den korrigerade versionen. Vid återställning bör gamla konfigurationsfiler inte importeras, och alla inloggningsuppgifter, nycklar och certifikat måste bytas ut. För fysiska enheter bör Cisco TAC kontaktas. Eftersom enheter i ett kluster autentiserar varandra med SSH-nycklar bör alla enheter i ett kluster återställas om en enda enhet har utsatts för intrång.

Detta är den andra sårbarheten i Secure Email Gateway som bekräftats utnyttjas aktivt under en månad, efter SQL-injektionen CVE-2026-76461 från september 2026. Det är även den tredje sårbarheten som ger root-åtkomst sedan december 2025, då gruppen UAT-9686 använde noll-dagssårbarheten CVE-2025-20393 i funktionen för skräppostkarantän.