Cisco Secure Email Gateway Zero-Day ausgenutzt

Ein Cisco Secure Email Gateway Zero-Day wird angegriffen: Eine einzige E-Mail mit präpariertem Anhang reicht, damit ein Angreifer ohne Anmeldung Dateien schreibt und Befehle als Root ausführt. Cisco führt die Lücke als CVE-2026-76519 (CVSS 9.8), und die CISA hat sie am 14. Oktober in den Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Es ist die zweite Secure-Email-Gateway-Lücke innerhalb eines Monats, die ausgenutzt wird, und der Build, der die erste unter AsyncOS 16.0 schloss, schließt diese nicht.

Was ist passiert

Cisco hat sein Advisory am 14. Oktober veröffentlicht. CVE-2026-76519 ist ein Relative Path Traversal in der Art, wie die Funktion Advanced Malware Protection E-Mail-Anhänge verarbeitet. Ein Gateway ist nur betroffen, wenn File Reputation aktiviert und einer Mail-Policy zugewiesen ist und das Paket Content Scanner Tools älter als 25.3.0.5525 ist. Cisco fand die Lücke bei eigenen Scans und erfuhr im Oktober von Angriffen. Zum Zeitpunkt des Schreibens nennt das Advisory weder die Zahl der angegriffenen Geräte noch die Täter, und es sagt nicht, ob diese Root erlangten. Die CISA setzte für US-Bundesbehörden eine Frist bis zum 17. Oktober, und das BSI gab am 15. Oktober eine Warnung mit der Kritikalität „hoch“ heraus.

Dieser Cisco Secure Email Gateway Zero-Day folgt auf CVE-2026-76461, die SQL-Injection, über die wir am 17. September berichtet haben. Cisco lieferte den Fix für die neue Lücke bereits im September aus, in einem Hardening-Release, das am selben Tag wie der Fix der SQL-Injection erschien, und vergab erst nach Beginn der Angriffe ein eigenes Advisory. Die behobenen Builds sind AsyncOS 15.5.5-014 und 16.5.0-780. Für 16.0 gibt es keinen behobenen Build, und 16.0.4-302, der Build, der die September-Lücke schloss, schließt diese nicht. Ein Update der Content Scanner Tools auf 25.3.0.5525 oder neuer behebt die Lücke ohne Software-Upgrade und ohne Neustart. Aktuelle Hinweise zur Absicherung finden Sie im Cisco-Advisory.

Warum das wichtig ist

Ein E-Mail-Gateway sieht jede eingehende Nachricht. Root darauf bedeutet, dass ein Angreifer Mails mitlesen oder verändern kann und einen Brückenkopf im Perimeter hat; Cluster-Mitglieder vertrauen einander per SSH-Schlüssel. Es ist zudem die dritte Root-Lücke in diesen Appliances, die Cisco seit Dezember als ausgenutzt bestätigt hat, nach CVE-2025-20393 (genutzt von einer China-nahen Gruppe, die als UAT-9686 geführt wird) und CVE-2026-76461.

Ciscos gebündelte Hardening-Releases erschweren die Einschätzung: Der Fix steckte einen Monat lang in einem Sammel-Advisory, bevor die Lücke eine eigene CVE bekam. Gateways, die im September die Builds für 15.5 oder 16.5 eingespielt haben, waren vor Beginn der Angriffe geschützt; Gateways unter 16.0 nicht. Für DACH kennen wir keine deutschen Opfer. Einschätzung: Die BSI-Warnung und die Rolle des Produkts am Mail-Eingang mittelständischer und finanznaher Netze machen dies zu einem vorrangigen Patch-Thema.

Was Sie jetzt tun sollten

1. Exposition prüfen. In der Weboberfläche unter Mail Policies, Incoming Mail Policies, Advanced Malware Protection das Feld Enable File Reputation ansehen und anschließend contentscannerstatus in der CLI ausführen. Eine Version unter 25.3.0.5525 bei aktivem File Reputation ist betroffen. Die Quellen widersprechen sich, ob Secure Email and Web Manager betroffen ist; dazu das Cisco-Advisory prüfen.
2. Scanner aktualisieren. contentscannerupdate ausführen oder automatische Updates unter Security Services, Service Updates einschalten und die Version danach mit contentscannerstatus bestätigen. Anschließend auf 15.5.5-014 oder 16.5.0-780 wechseln; ein Gateway unter 16.0 sollte auf 16.5.0-780 migrieren.
3. Auf jedem Cluster-Mitglied nach Kompromittierung suchen: grep „System Security“ system_logs ausführen. Ein sauberes Ergebnis ist kein Beweis, denn ein Angreifer mit Root kann Spuren entfernen; zusätzlich Firewall-Logs auf unerwartete Uploads zu externen Adressen prüfen.
4. Zeigt ein virtuelles Gateway Anzeichen einer Kompromittierung, zuerst forensische Daten sichern, denn ein Upgrade zerstört Logs. Eine neue virtuelle Maschine mit einem behobenen Release bereitstellen, die Konfiguration ohne Import der alten Datei neu aufbauen und Zugangsdaten sowie kryptografisches Material erneuern. Bei physischen Appliances Cisco TAC kontaktieren. Alle Cluster-Mitglieder wiederherstellen, wenn eines kompromittiert ist.

DIESEC Einschätzung

Verfolgen Sie den behobenen Build jeder Appliance, statt auf eine CVE-Schlagzeile zu warten, und lassen Sie das Scanner-Paket automatisch aktualisieren: Es ist die einzige Komponente hier, die sich ohne Wartungsfenster beheben lässt.

Nicht sicher, ob Ihre Mail-Gateways File Reputation mit einem veralteten Scanner-Paket betreiben? Kontaktieren Sie DIESEC für eine schnelle Expositions- und Kompromittierungsanalyse Ihrer E-Mail-Security-Appliances.

Quellen: The Hacker News | Cisco Advisory | BSI | Canadian Cyber Centre | Security Affairs
Veröffentlicht: 2026-10-19 | Kategorie: Tägliche News | ~4 Min. Lesezeit