Kritische Schwachstelle in Cisco Secure Email Gateway wird aktiv ausgenutzt – Patches verfügbar

Das Unternehmen Cisco hat einen Sicherheitshinweis zu der kritischen Schwachstelle CVE-2026-76461 in der AsyncOS-Software für Cisco Secure Email Gateway veröffentlicht. Die Schwachstelle gehört zur Klasse SQL injection (CWE-89), wurde mit einem CVSS-Score von 9.8 von 10 bewertet und wird nach Angaben von Cisco bereits aktiv von Angreifern ausgenutzt. Eine unzureichende Validierung in der Logik zur Verarbeitung von E-Mails erlaubt es einem nicht authentifizierten, entfernten Angreifer, eine speziell präparierte E-Mail mit schädlichen SQL-Anweisungen zu senden und so die Ausführung beliebiger Befehle mit root-Rechten auf dem zugrunde liegenden Betriebssystem zu erreichen. Es existieren keine Workarounds – die einzige Schutzmaßnahme ist das Update auf eine fehlerbereinigte Version. Die Schwachstelle wurde von CISA in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen, mit einer Frist zur Behebung für US-Bundesbehörden bis zum 17. September 2026.

Technische Details der Schwachstelle

Die Schwachstelle CVE-2026-76461 betrifft alle Geräte von Cisco Secure Email Gateway – sowohl physische als auch virtuelle – unabhängig von der Konfiguration. Das bedeutet, dass keine Geräteeinstellungen das Risiko mindern können, ohne dass ein Patch eingespielt wird.

Der Angriffsvektor ist durch seine Einfachheit bemerkenswert: Es genügt, dass der Angreifer eine speziell präparierte E-Mail über das verwundbare Gerät sendet. Die E-Mail enthält schädliche SQL-Anweisungen, die aufgrund unzureichender Validierung im E-Mail-Parser vom System verarbeitet werden. Eine erfolgreiche Ausnutzung führt zur Ausführung beliebiger SQL-Abfragen, was wiederum die Ausführung von Betriebssystembefehlen mit root-Rechten ermöglicht.

Cisco stellt klar, dass die folgenden Produkte nicht betroffen sind:

• Secure Email and Web Manager
• Secure Web Appliance

Dies ist ein wichtiger Hinweis für Organisationen, die mehrere Cisco-Produkte in ihrer E-Mail-Sicherheitsinfrastruktur einsetzen: Die Asset-Inventarisierung muss diese Produktlinien eindeutig voneinander abgrenzen. Zuvor haben wir bereits über eine andere Schwachstelle berichtet, die Cisco-Hardware betrifft.

Behobene Versionen

Cisco hat Updates für alle betroffenen AsyncOS-Zweige veröffentlicht:

• 15.5 und ältere – behoben in Version 15.5.5-0141
• 16.0 – behoben in Version 16.0.4-302
• 16.5 – behoben in Version 16.5.0-780

Das Unternehmen stellt unmissverständlich klar: Es gibt keine Workarounds, die die Schwachstelle beseitigen. Die einzige Empfehlung lautet, auf eine fehlerbereinigte Version zu aktualisieren.

Erkennung und Reaktion

Mit root-Zugriff können Angreifer Spuren der Kompromittierung direkt auf dem Gerät löschen oder verbergen. Cisco weist in seinem Sicherheitshinweis ausdrücklich darauf hin, was die Incident Response deutlich erschwert. Daher darf sich die Untersuchung nicht auf die Analyse der Logs des Geräts selbst beschränken – es müssen externe Telemetriequellen herangezogen werden.

Cisco empfiehlt folgende Schritte, um eine mögliche Kompromittierung aufzudecken:

1. Die Dateien mail_logs auf verdächtige SQL-Anweisungen überprüfen
2. Falls das Gerät Teil eines Clusters ist – die Logs jedes Geräts im Cluster prüfen
3. Diesen Befehl ausführen, um nach schädlichen SQL-Konstruktionen zu suchen: grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs]
4. Jeder Treffer in der Ausgabe kann auf bösartige Aktivität hinweisen

Zusätzlich zu den lokalen Logs des Geräts sollten Administratoren Netzwerk- und Firewall-Logs auf Anzeichen für anomale Aktivität prüfen: unerwartete ausgehende Datenübertragungen vom betroffenen Gerät an externe IP-Adressen oder eingehende Verbindungen von verdächtigen Adressen. Dies ist besonders kritisch, weil ein Angreifer mit root-Rechten in der Lage ist, lokale Spuren zu bereinigen.

Cisco teilte außerdem mit, dass Kunden, die Cisco Secure Email Cloud nutzen und auf deren Geräten bösartige Aktivität festgestellt wurde, direkt benachrichtigt wurden. Zum Umfang der Angriffe machte das Unternehmen keine Angaben.

Großangelegte Angriffe auf Fortinet VPN

Parallel zur Offenlegung der Cisco-Schwachstelle berichtete das Unternehmen Arctic Wolf über eine großangelegte Kampagne zur Kompromittierung von Zugangsdaten, die sich gegen aus dem Internet erreichbare VPN-Geräte von Fortinet richtete. Nach Angaben der Forscher fanden die Angriffe in zwei Wellen vom 26. bis 28. August 2026 statt und erzeugten Dutzende Millionen fehlgeschlagener Authentifizierungsversuche.

Charakteristisch für die Kampagne ist, dass nicht zufällige Logins verwendet wurden, sondern gezielt ausgewählte Kennungen: Namen von Mitarbeitern, unternehmensinterne E-Mail-Adressen, Konten von Partnern sowie typische administrative Accounts bestimmter Organisationen. Dies deutet nach Einschätzung von Arctic Wolf auf eine vorherige Sammlung oder Enumeration von Identifikationsdaten hin und nicht auf ein gewöhnliches Blind-Guessing.

In einem der beobachteten Fälle wurde laut Arctic Wolf eine erfolgreiche Authentifizierung an einem Fortinet VPN von der IP-Adresse 158[.]94[.]211[.]14 unmittelbar vor bösartiger Aktivität in der kompromittierten Umgebung registriert.

Es sei betont: Ein Zusammenhang zwischen der Kampagne gegen Fortinet VPN und der Ausnutzung von CVE-2026-76461 in Cisco Secure Email Gateway ist nicht belegt – es handelt sich um zwei separate, zeitlich zusammenfallende Vorfälle. Keine der herangezogenen Quellen identifiziert die dahinterstehende Gruppe oder weist auf eine gemeinsame Infrastruktur hin. Wir haben zuvor andere Schwachstellen in Fortinet-Produkten beleuchtet.

Empfehlungen

Organisationen, die Cisco Secure Email Gateway einsetzen, sollten:

• AsyncOS umgehend auf eine fehlerbereinigte Version aktualisieren (15.5.5-0141, 16.0.4-302 oder 16.5.0-780, abhängig vom verwendeten Zweig)
• Eine retrospektive Analyse der mail_logs mit dem Pattern COPY.*TO PROGRAM durchführen, um eine mögliche Ausnutzung vor Installation des Patches zu erkennen
• Externe Telemetrie – insbesondere Firewall- und Netzwerk-Logs – auf anomale ausgehende Verbindungen von betroffenen Geräten überprüfen
• Eine Inventarisierung vornehmen, um genau festzustellen, welche Geräte zu Secure Email Gateway gehören und welche zu den nicht betroffenen Secure Email and Web Manager bzw. Secure Web Appliance

Angesichts der bestätigten aktiven Ausnutzung, des CVSS-Scores von 9.8, des Fehlens von Workarounds und der Tatsache, dass für den Angriff das bloße Senden einer E-Mail ohne jegliche Authentifizierung ausreicht, muss das Update von Cisco Secure Email Gateway auf eine fehlerbereinigte AsyncOS-Version für alle betroffenen Organisationen höchste Priorität haben. Für US-Bundesbehörden setzt der CISA-KEV-Katalog eine Frist bis zum 17. September 2026, doch kommerzielle Organisationen sollten sich nicht an diesem Datum orientieren: Jeder Tag ohne Patch ist ein offenes Fenster für einen nicht authentifizierten Remote-Angriff, der zur vollständigen Übernahme des Geräts führt.