Ein bösartiger E-Mail-Anhang kann Angreifern die Ausführung von Befehlen mit Root-Rechten auf verwundbaren Cisco-Secure-Email-Gateway-Appliances ermöglichen, selbst wenn niemand die Datei öffnet.
Cisco bestätigte am 14. Oktober 2026 die aktive Ausnutzung von CVE-2026-76519. Die kritische Schwachstelle hat einen CVSS-Wert von 9,8 und erfordert weder eine Authentifizierung noch eine Benutzerinteraktion. Die Cybersecurity and Infrastructure Security Agency (CISA) nahm sie in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und setzte für die betroffenen Bundesbehörden eine Behebungsfrist bis zum 17. Oktober.
Die Schwachstelle betrifft Sicherheitsinfrastruktur, die zum Abfangen bösartiger E-Mails entwickelt wurde. Administratoren müssen neben dem Einspielen des Patches auch eine mögliche Kompromittierung untersuchen, da Angreifer mit Root-Rechten Spuren eines Eindringens verbergen können. Der Eintrag der CISA zu ausgenutzten Schwachstellen verpflichtet betroffene Behörden außerdem, gemäß den Vorgaben des Bundes eine forensische Triage durchzuführen.
Welche Cisco-E-Mail-Gateways sind verwundbar?
Laut Ciscos Advisory vom 14. Oktober handelt es sich bei CVE-2026-76519 um eine Schwachstelle beim Durchlaufen relativer Pfade (CWE-23) in der Funktion Advanced Malware Protection (AMP) von Secure Email Gateway. Präparierte Anhänge können beliebige Dateischreibvorgänge und die Ausführung von Befehlen mit Root-Rechten auslösen.
Physische und virtuelle Appliances sind verwundbar, wenn sie eine betroffene AsyncOS-Version ausführen und beide folgenden Bedingungen erfüllt sind:
- AMP File Reputation ist aktiviert und einer Richtlinie für ein- oder ausgehende E-Mails zugewiesen.
- Content Scanner Tools ist älter als Version 25.3.0.5525.
Administratoren können die Scanner-Version über die Befehlszeile überprüfencontentscannerstatus und die File-Reputation-Einstellungen unter den entsprechenden E-Mail-Richtlinien prüfen. Cisco Secure Email and Web Manager und Secure Web Appliance sind nicht betroffen.
Cisco gab am 14. September eine weitere Zero-Day-Schwachstelle in Secure Email Gateway bekannt. Diese SQL-Injection-Schwachstelle, CVE-2026-76461, betraf verwundbare Appliances unabhängig von ihrer Konfiguration und erfordert eine separate Bewertung der Gefährdung.
Separate Angriffe auf Cisco Firewall Management Center im September umfassten den Diebstahl von Zugangsdaten und den Zugriff auf interne Netzwerke. Cisco hat diese Vorfälle nicht mit der aktuellen Gateway-Schwachstelle in Verbindung gebracht.
Patches und Prüfungen auf eine Kompromittierung bei CVE-2026-76519
Cisco hat die reparierten AsyncOS-Versionen 15.5.5-014 und 16.5.0-780 veröffentlicht. Lizenzierte Installationen mit Support können außerdem Content Scanner Tools ab Version 25.3.0.5525 einspielen, ohne ein vollständiges Software-Upgrade oder einen Neustart durchführen zu müssen.
Administratoren können die Scanner-Aktualisierung über die Befehlszeile startencontentscannerupdate. Es gibt keine Behelfslösung für die Schwachstelle, und die Installation des Fixes zeigt nicht, ob Angreifer zuvor Zugriff erlangt haben.
Sicherheitsteams sollten diese Maßnahmen priorisieren:
- Gefährdung prüfen und patchen: AsyncOS-Versionen, File-Reputation-Richtlinien und Scannerversionen überprüfen. Den passenden Fix einspielen und die Installation verifizieren.
- Kompromittierung untersuchen: Führen Sie
grep "System Security" system_logsauf jedem Gerät, einschließlich der Cluster-Mitglieder, eine entsprechende Prüfung durch und gleichen Sie die Ergebnisse mit externen Firewall- und Netzwerkprotokollen ab. - Zugriff auf die Verwaltung beschränken: Verbindungen zur Administration auf vertrauenswürdige Hosts beschränken, Verwaltungs- und E-Mail-Verarbeitungs-Schnittstellen trennen und eine starke Authentifizierung erzwingen.
- Nicht benötigte Dienste reduzieren: Nicht verwendete HTTP- und FTP-Dienste gegebenenfalls deaktivieren und den Verwaltungsverkehr durch Firewalls beschränken.
- Beweise sichern: Protokolle an einen externen Speicher weiterleiten. Bei Verdacht auf eine Kompromittierung forensische Daten sichern und das Cisco Technical Assistance Center (TAC) kontaktieren.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen: Die Verfahren zur Beweissicherung, zum Austausch von Zugangsdaten und zur Wiederherstellung von Clustern validieren, bevor sie bei einem Vorfall benötigt werden.
Ciscos Protokollprüfungen unterscheiden zwischen Hinweisen auf eine vermutete Kompromittierung, unvollständigen Sicherheitsprüfungen und keinen erkannten Hinweisen. Administratoren, die Hinweise auf eine vermutete Kompromittierung finden, sollten das Cisco TAC kontaktieren und dessen Anweisungen zur Wiederherstellung befolgen. Auch bei unvollständigen Prüfungen ist die Unterstützung des TAC angebracht.
Cisco empfiehlt bei möglicherweise kompromittierten physischen Appliances die Unterstützung des TAC. Die Wiederherstellung einer virtuellen Appliance umfasst die Sicherung von Beweisen, die Bereitstellung einer sauberen VM, den Wiederaufbau der Konfigurationen ohne den Import vorheriger Dateien sowie die Erneuerung von Zugangsdaten und kryptografischem Material.
Offengelegte SSH-Schlüssel können andere Cluster-Mitglieder gefährden. Cisco hat seine verwaltete Secure-Email-Cloud-Infrastruktur aktualisiert und Kunden mit möglichen Hinweisen auf eine Kompromittierung kontaktiert.
Wie bei der jüngsten Ausnutzung von SharePoint müssen Patching und forensische Untersuchung möglicherweise parallel erfolgen. Die Installation eines Fixes zeigt nicht, ob Angreifer ein Gateway zuvor kompromittiert oder einen unbefugten Zugang hinterlassen haben.
Weiterlesen: Die kritischen Nexus-Switch-Schwachstellen zeigen, wie Softwareversionen und aktivierte Funktionen die Gefährdung durch Angriffe mit Root-Zugriff in der gesamten Netzwerkinfrastruktur bestimmen können.