Cisco Secure Email Gateway Schwachstelle wird jetzt aktiv ausgenutzt

Cisco hat bestätigt, dass eine kritische Schwachstelle in Cisco Secure Email Gateway mit der Kennung CVE-2026-76461 aktiv ausgenutzt wird. Die Schwachstelle betrifft AsyncOS Software für Cisco Secure Email Gateway und hat einen CVSS-Schweregrad von 9,8 von 10, fast die höchstmögliche Bewertung. Cisco beschrieb das Problem erstmals in einer Mitteilung am Montag. Das Unternehmen erklärt, die Schwachstelle entstehe durch unzureichende Validierung in der E-Mail-Parsing-Logik. Aufgrund dieser fehlenden Prüfung kann ein nicht authentifizierter Angreifer eine speziell gestaltete E-Mail-Nachricht mit bösartigen SQL-Anweisungen senden und dann beliebige Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem ausführen. SQL ist eine Sprache zum Lesen und Ändern von in Datenbanken gespeicherten Informationen, und Root-Rechte sind die höchste Stufe der Administratorrechte auf einem Computer. Praktisch bedeutet das: Ein erfolgreicher Angreifer kann die volle Kontrolle über das betroffene Gerät übernehmen, ohne sich vorher anmelden zu müssen.

Cisco gibt an, dass die Schwachstelle Cisco Secure Email Gateway in physischer und virtueller Form betrifft, unabhängig von der Konfiguration des Geräts. Das Unternehmen stellt außerdem klar, dass andere Produkte wie Secure Email and Web Manager und Secure Web Appliance nicht betroffen sind. Korrigierte Software ist für drei Cisco AsyncOS-Release-Zweige verfügbar. Kunden mit Version 15.5 und früher sollten auf 15.5.5-0141 aktualisieren. Kunden mit 16.0 sollten auf 16.0.4-302 aktualisieren. Kunden mit 16.5 sollten auf 16.5.0-780 aktualisieren. Es gibt keine Workarounds außer der Aktualisierung auf eine korrigierte unterstützte Version. Als Reaktion auf die aktive Ausnutzung hat die U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-76461 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen, eine öffentliche Liste von Fehlern, die Bundesbehörden schnell patchen müssen, weil Angreifer sie bereits nutzen. Aufgrund dieser Einstufung müssen Bundesbehörden der Zivilen Exekutive die Patches bis zum 17. September 2026 anwenden.

Cisco gibt an, in diesem Monat von der aktiven Ausnutzung erfahren zu haben. Um Administratoren bei der Erkennung möglichen Missbrauchs zu helfen, listet Cisco mehrere Kompromittierungsindikatoren (IoCs) auf. Betreiber von E-Mail-Gateways sollten die mail_logs auf verdächtige SQL-Anweisungen prüfen. Wenn ein Gerät Teil eines Clusters ist, sollten Administratoren die Protokolle auf jedem Cluster-Mitglied prüfen. Cisco empfiehlt speziell, den Befehl cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs] auszuführen. Wenn die Ausgabe einen Eintrag enthält, könnte dies auf bösartige Aktivität hinweisen. Cisco erklärte außerdem, dass es Kunden mit Cisco Secure Email Cloud-Geräten direkt kontaktiert hat, bei denen bösartige Aktivität festgestellt wurde. Das Unternehmen gab nicht bekannt, wie groß das Ausmaß der Angriffe war oder wie viele Kunden betroffen sind.

Da eine erfolgreiche Ausnutzung zur Ausführung von Root-Befehlen führen kann, könnten Bedrohungsakteure in der Lage sein, Beweise für eine Kompromittierung auf dem Gerät selbst zu löschen oder zu verbergen. Cisco rät Administratoren daher, Netzwerkprotokolle und Firewall-Protokolle außerhalb des betroffenen Geräts gegenzuprüfen. Teams sollten nach unerwarteten Uploads vom betroffenen Gerät zu externen IP-Adressen sowie nach Downloads von bösartigen IP-Adressen suchen. Diese Außenansicht ist wichtig, weil ein Angreifer mit Root-Zugriff lokale Protokolle manipulieren und das Gerät sauber erscheinen lassen kann.

Die Cisco-Warnung kommt kurz nachdem Arctic Wolf eine separate Welle groß angelegter Credential-Angriffe auf internetzugewandte Fortinet VPN-Geräte gemeldet hat. Laut Arctic Wolf fanden die Aktivitäten in zwei anhaltenden Wellen über mehrere U.S.-Kundenumgebungen hinweg vom 26. bis 28. August 2026 statt. Die Angriffe erzeugten zig Millionen Authentifizierungsfehler, also fehlgeschlagene Anmeldeversuche. Sicherheitsforscher Kyle Siddall sagte, der Akteur habe organisationsspezifische Benutzernamen, Unternehmens-E-Mail-Adressen, Partnerkonten und gängige administrative Identitäten verwendet. Dieses Muster deutet darauf hin, dass der Angreifer Zugriff auf zuvor gesammelte oder aufgelistete Identitätsinformationen hatte, anstatt einfach generische Benutzernamen zu raten. In einem beobachteten Fall folgte auf eine erfolgreiche Fortinet VPN-Authentifizierung von der IP-Adresse 158.94.211[.]14 bösartige Aktivität in der Zielumgebung. Ein VPN (Virtual Private Network) ist eine sichere private Verbindung, die genutzt wird, um über das Internet auf Unternehmenssysteme zuzugreifen.

Für Website-Betreiber, Unternehmen und IT-Teams zeigen die beiden Berichte dieselbe operative Sorge: Öffentlich zugängliche Appliances und Fernzugriffssysteme werden kontinuierlich getestet. Nicht gepatchte Cisco Secure Email Gateways können einem Außenstehenden durch eine einzige manipulierte E-Mail die volle Kontrolle geben, während exponierte VPN-Anmeldungen mit zuvor geleakten Benutzernamen und Passwörtern bombardiert werden. Dies macht zeitnahes Patchen, Protokollprüfungen und Multi-Faktor-Authentifizierung unerlässlich. Für Teams, die Unterstützung bei Audit- und Patch-Routinen für öffentlich zugängliche Appliances benötigen, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung, die Planung und Überprüfung von Updates unterstützen kann.