Cisco warnt vor kritischer Sicherheitsanfälligkeit im Secure Email Gateway

Cisco hat Kunden dringend aufgefordert, einen Patch für eine weitere kritische Schwachstelle im Secure Email Gateway (SEG) zu installieren, die bereits in Zero-Day-Angriffen ausgenutzt wurde. Ein Cisco-Vertreter informierte The Register darüber. Die Schwachstelle wurde auf der CVSS-Skala mit 9,8 von 10 bewertet und wird als CVE-2026-76519 verfolgt. Sie ermöglicht es entfernten, nicht authentifizierten Angreifern, Dateien zu schreiben und Befehle mit Root-Rechten auf dem Betriebssystem des Geräts auszuführen, indem einfach eine bösartige E-Mail gesendet wird. Eine begrenzte Anzahl von Kunden ist betroffen.

Am Mittwoch gaben Cisco und die US-Regierung separate Warnungen heraus, dass Angriffe begonnen hatten, bevor der Patch veröffentlicht wurde. Die US Cybersecurity and Infrastructure Security Agency (CISA) fügte die Schwachstelle ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und setzte eine Frist für Bundesbehörden, diese bis Samstag zu beheben. Ein Cisco-Vertreter bestätigte die aktive Ausnutzung, lehnte es jedoch ab, Fragen zur Anzahl der kompromittierten Geräte und den Aktionen der Angreifer zu beantworten. "Wir fordern Kunden dringend auf, das Update durchzuführen und die Empfehlungen zur Stärkung des Schutzes zu befolgen", erklärte er.

Das Problem liegt in der Advanced Malware Protection (AMP)-Funktion und ist mit der unsachgemäßen Handhabung von Anhängen verbunden. Physische und virtuelle SEGs auf anfälligen Versionen von Cisco AsyncOS sind unter zwei Bedingungen betroffen: Der File Reputation-Dienst ist aktiviert und einer Mail-Policy zugewiesen, und die Content Scanner Tools-Version ist unter 25.3.0.5525. Die Lösung ist ein AsyncOS-Update, es gibt keine Workarounds. Kunden mit Versionen unter 16.5 wird empfohlen, auf 16.5.0-780 zu aktualisieren. Cisco erfuhr im Oktober von der aktiven Ausnutzung.

Dies ist die zweite derartige Zero-Day-Schwachstelle in SEG innerhalb von zwei Monaten. Mitte September wurde CVE-2026-76461 mit einem ähnlichen Mechanismus ausgenutzt – eine bösartige E-Mail verschaffte Root-Zugriff. Im Januar nutzten Angreifer CVE-2025-20393, um in SEG einzudringen und Persistenzmechanismen zu etablieren; diese Schwachstelle erhielt die Höchstbewertung von 10.