CVE-2026-76519 wird auf Cisco-E-Mail-Gateways ausgenutzt
CVE-2026-76519 wird laut einer Sicherheitsempfehlung von Cisco für Angriffe auf Cisco Secure Email Gateway-Appliances ausgenutzt. Die Schwachstelle ermöglicht es einem nicht authentifizierten Absender, also jemandem ohne Konto oder Anmeldung, eine E-Mail mit einem speziell präparierten Anhang zu senden und Dateien in das Betriebssystem der Appliance zu schreiben. Eine erfolgreiche Ausnutzung könnte die Ausführung von Befehlen als root ermöglichen, dem Systemkonto mit der höchsten Kontrollstufe. Cisco stufte die Schwachstelle mit einem kritischen CVSS-Schweregrad von 9,8 ein, entdeckte sie durch interne Sicherheitsscans und erfuhr im Oktober von den Angriffen. Die Sicherheitsempfehlung nennt weder die Angreifer noch die Zahl der betroffenen Geräte und bestätigt auch nicht, ob ein Angreifer root-Zugriff erlangt hat.
Ein Gateway ist nur dann anfällig, wenn zwei Bedingungen erfüllt sind. File Reputation, ein Teil der zum Prüfen von Anhängen verwendeten Funktion Advanced Malware Protection, muss aktiviert und einer Richtlinie für eingehende oder ausgehende E-Mails zugewiesen sein. Außerdem muss das installierte Content Scanner Tools-Paket älter als Version 25.3.0.5525 sein. Sowohl physische als auch virtuelle Secure Email Gateway-Appliances mit betroffenen AsyncOS-Releases sind gefährdet. AsyncOS ist die auf der Appliance ausgeführte Betriebssoftware. Secure Email and Web Manager und Secure Web Appliance sind von dieser Schwachstelle nicht betroffen.
Administratoren können die Einstellung für File Reputation unter Mail Policies, Incoming Mail Policies und Advanced Malware Protection oder über den entsprechenden Pfad für Richtlinien zu ausgehenden E-Mails prüfen. Die Version von Content Scanner Tools lässt sich überprüfen, indem über die Befehlszeilenschnittstelle beziehungsweise CLI, eine textbasierte Verwaltungskonsole, `contentscannerstatus` ausgeführt wird. Systeme, auf denen bereits Version 25.3.0.5525 oder neuer ausgeführt wird, sind durch diese Schwachstelle nicht gefährdet.
Das Scanner-Update ist der schnellste Weg zur Behebung und erfordert weder ein vollständiges Software-Upgrade noch einen Neustart. Appliances, auf denen automatische Updates für Content Scanner Tools aktiviert sind, sollten es automatisch erhalten. Administratoren sollten jedoch die installierte Version prüfen, anstatt davon auszugehen, dass das Update abgeschlossen wurde. Wenn automatische Updates deaktiviert sind, soll laut Cisco `contentscannerupdate` an der CLI ausgeführt oder die Update-Funktion unter Security Services und Service Updates aktiviert werden. Für eine Appliance, die weiterhin eine betroffene Scanner-Version verwendet, gibt es keinen Workaround.
Cisco nennt außerdem AsyncOS 15.5.5-014 und 16.5.0-780 als die ersten korrigierten Releases in den jeweiligen Entwicklungszweigen. Für AsyncOS 16.0 ist kein korrigierter Build aufgeführt. Diese Systeme müssen daher auf ein korrigiertes Release migriert werden, oder es muss bestätigt werden, dass das separate Scanner-Paket mindestens Version 25.3.0.5525 aufweist. Cisco empfiehlt, jedes Gateway mit einer Version vor 16.5 auf 16.5.0-780 zu aktualisieren. AsyncOS 16.0.4-302, das eine separate, im September offengelegte SQL injection-Schwachstelle behob, behebt CVE-2026-76519 nicht automatisch. Die Sicherheitsempfehlung gibt nicht an, welche lizenzierten und unterstützten Releases für das Scanner-Paket infrage kommen. Daher gilt das Ergebnis von `contentscannerstatus` als die von Cisco angegebene Bestätigung für ein Gerät, das weiterhin Version 16.0 verwendet.
Cisco stellt eine lokale Prüfung auf Anzeichen eines versuchten Angriffs bereit: `grep "System Security" system_logs`. Das Ergebnis meldet entweder eine vermutete Kompromittierung, einen unvollständigen Sicherheitsscan oder keine gefundenen Hinweise. Ein Ergebnis mit vermuteter Kompromittierung erfordert den Wiederherstellungsprozess, während bei einem unvollständigen Scan das Technical Assistance Center von Cisco eingeschaltet werden sollte. Administratoren sollten den Befehl auf jeder Appliance in einem Cluster ausführen. Ein unauffälliges Ergebnis ist nicht beweiskräftig, da ein Angreifer mit root-Kontrolle Beweise verbergen oder entfernen könnte. Cisco empfiehlt daher zusätzlich, außerhalb der Appliance gespeicherte firewall- und andere Netzwerkprotokolle auf unerwartete Uploads an externe Internetadressen oder Downloads von bösartigen Adressen zu prüfen. Die Sicherheitsempfehlung erläutert nicht genau, was der lokale Scan erkennt.
Die Wiederherstellung hängt vom Typ der Appliance ab. Cisco bittet Betreiber kompromittierter physischer Appliances, das Technical Assistance Center zu kontaktieren und für die Untersuchung einen Fernzugriff zu aktivieren. Bei einer virtuellen Appliance sollten forensische Daten und Protokolle vor jedem Upgrade gesichert werden, da eine Aktualisierung der kompromittierten Instanz diese Beweismittel vernichtet. Anschließend sollten Administratoren eine neue virtuelle Maschine mit einem korrigierten Release bereitstellen, ihre Konfiguration neu erstellen, ohne eine alte Konfigurationsdatei zu importieren, Zugangsdaten und kryptografisches Material erneuern und die Überwachung auf ungewöhnliche Aktivitäten fortsetzen.
Gateway-Cluster erfordern zusätzliche Aufmerksamkeit. Die Mitglieder authentifizieren sich gegenseitig mithilfe von SSH key pairs, also miteinander verknüpften digitalen Zugangsdaten für vertrauenswürdige Systemverbindungen. Wenn ein Angreifer die privaten Schlüssel eines kompromittierten Mitglieds erlangt, könnten diese Zugangsdaten Zugriff auf andere Mitglieder ermöglichen. Cisco empfiehlt daher, alle Mitglieder eines Clusters wiederherzustellen, sobald mindestens eine Appliance kompromittiert wurde. Das Unternehmen hat außerdem Kunden des verwalteten Dienstes Secure Email Cloud kontaktiert, deren Geräte Hinweise auf eine mögliche Kompromittierung zeigten. Cisco hat das korrigierte Scanner-Paket für diesen Dienst bereitgestellt, sodass Kunden nichts unternehmen müssen, um die Korrektur zu erhalten. Kontaktierte Kunden werden jedoch gebeten, Zugangsdaten und kryptografisches Material nach Möglichkeit zu erneuern. Administratoren verwalteter Dienste verfügen möglicherweise nicht über den CLI-Zugriff, der erforderlich ist, um die lokale Prüfung selbst durchzuführen.
Die Schwachstelle wurde bereits durch die am 14. September veröffentlichten Hardening-Builds abgedeckt, erhielt jedoch am Mittwoch eine eigene Sicherheitsempfehlung, nachdem Cisco ihre Ausnutzung bestätigt hatte. In diesem Hardening-Release wurden intern entdeckte Fehler nach Schwachstellenklasse unter CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 und CVE-2026-76443 zusammengefasst, die jeweils mit 9,8 bewertet wurden, sowie unter CVE-2026-76442 mit einer Bewertung von 7,5. Cisco teilt nun mit, dass zwei Fehler aus diesem Release ausgenutzt werden: CVE-2026-76519 in der path traversal class, bei der Dateipfade unsicher verarbeitet werden, und CVE-2026-76461 in der improper neutralization class. Cisco hat die beiden Angriffskampagnen nicht miteinander in Verbindung gebracht und gibt an, keine Kenntnis von Angriffen auf die anderen Fehler in diesem Release zu haben.
CVE-2026-76461 ist eine SQL injection-Schwachstelle bei der Verarbeitung von E-Mails, durch die ein nicht authentifizierter Absender mithilfe einer präparierten E-Mail Befehle als root ausführen kann. Sie betrifft jede Konfiguration und wurde am 14. September in den Known Exploited Vulnerabilities-Katalog der Cybersecurity and Infrastructure Security Agency aufgenommen. Die beiden Schwachstellen betreffen unterschiedliche Softwarekomponenten und erfordern unterschiedliche Prüfungen der Protokolle. Gemäß der im Juni angekündigten Offenlegungsrichtlinie von Cisco können Fehler in Hardening-Releases unter zusammengefassten CVEs geführt werden, während eine Schwachstelle einen eigenen Identifikator erhalten kann, wenn bekannt ist, dass sie ausgenutzt wird.
Dies ist die dritte Secure Email Gateway-Schwachstelle mit Zugriff auf root-Ebene seit Dezember, deren Ausnutzung Cisco bestätigt hat. Cisco Talos berichtete zuvor, dass die von ihm als UAT-9686 beobachtete Gruppe CVE-2025-20393 als zero-day in der Spam-Quarantänefunktion einsetzte, was bedeutet, dass die Schwachstelle ausgenutzt wurde, bevor eine Korrektur verfügbar war. Cisco schloss diese Schwachstelle im Januar. Organisationen, die ihre allgemeine Sicherheitslage bewerten, können außerdem die sicherheitsorientierten IT-, Infrastruktur- und Beratungsleistungen von AEU-I in Betracht ziehen.