Cisco hat ein Sicherheitsupdate zur Behebung einer ausgenutzten Zero-Day-Schwachstelle in Secure Email Gateway-Geräten (SEG) veröffentlicht. Sie kann es entfernten, nicht authentifizierten Angreifern ermöglichen, Dateien zu schreiben und Befehle mit Root-Berechtigungen auf dem zugrunde liegenden Betriebssystem auszuführen.
Die Schwachstelle trägt die Kennung CVE-2026-76519 und entsteht durch eine Schwachstelle bei der Verarbeitung relativer Pfadüberquerungen innerhalb der Funktion Advanced Malware Protection (AMP), die auf eine fehlerhafte Verarbeitung von E-Mail-Anhängen zurückgeht. Laut Cisco genügt es, über ein nicht aktualisiertes Gerät eine speziell präparierte Nachricht mit einem Anhang zu senden, um den Fehler auszunutzen.
Wer ist von der Schwachstelle betroffen?
SEG-Instanzen sind betroffen, wenn der Dienst File Reputation aktiviert und einer E-Mail-Richtlinie zugewiesen ist und die Version der Content Scanner Tools älter als 25.3.0.5525 ist. Administratoren können die Version mithilfe des Befehls contentscannerstatus über die CLI überprüfen und anschließend die Option Enable File Reputation in den Richtlinien für eingehende oder ausgehende E-Mails im Bereich Advanced Malware Protection kontrollieren.
Aktive Ausnutzung und Kompromittierungsindikatoren
Cisco erklärte, das Incident-Response-Team PSIRT habe im Oktober 2026 von einer aktiven Ausnutzung der Schwachstelle erfahren. Weitere Einzelheiten zu den Angriffen oder den dahinterstehenden Akteuren veröffentlichte das Unternehmen jedoch nicht. Stattdessen stellte Cisco mit Systemmeldungen verbundene Kompromittierungsindikatoren bereit. Dazu gehören der Verdacht, dass ein Kompromittierungsindikator gefunden wurde, ein nicht abgeschlossener Sicherheitsscan oder das Ergebnis, dass kein Indikator gefunden wurde.
Wenn Hinweise auf eine Kompromittierung vorliegen oder der Scan fehlschlägt, empfiehlt Cisco, sich an das Technical Assistance Center (TAC) zu wenden. Eine Meldung, dass keine Kompromittierungsindikatoren gefunden wurden, macht ein Upgrade auf eine stabile Version, sobald diese verfügbar ist, nicht überflüssig.
Was sollten Systemadministratoren tun?
Cisco warnte, dass ein Angreifer mit Befehlsausführung unter Root-Berechtigungen möglicherweise Spuren der Ausnutzung entfernen kann. Daher empfahl das Unternehmen, Firewall- und Netzwerkprotokolle auf Downloads, Uploads sowie Verbindungen zu externen oder verdächtigen IP-Adressen zu überprüfen. Kunden, die von Cisco kontaktiert wurden, sollten das Gerät außerdem in einen sicheren Zustand zurückversetzen und, sofern möglich, die auf dem Gerät installierten Zugangsdaten und kryptografischen Materialien erneuern. Zudem sollte der Zugriff auf das Gerät eingeschränkt und es sollten starke Zugriffskontrollmechanismen angewendet werden.
Warum ist diese Nachricht wichtig?
Die Gefahr der Schwachstelle ergibt sich aus dem Zusammenspiel dreier Faktoren: Es ist keine Authentifizierung erforderlich, sie kann über einen E-Mail-Anhang ausgenutzt werden und ermöglicht den Erhalt von Root-Berechtigungen. Sie reiht sich außerdem in eine Serie ausgenutzter Schwachstellen ein, die Cisco-Produkte für E-Mail-Sicherheit betrafen. Dadurch werden die Überprüfung der Versionen und die Kontrolle der Protokolle zu dringenden Maßnahmen und nicht lediglich zu einem routinemäßigen Update.
Shadowserver überwacht etwa 300 im Internet exponierte Instanzen von Cisco Secure Email Gateway. Es liegen keine Informationen vor, aus denen hervorgeht, wie viele der Geräte virtuelle Instanzen sind oder bereits abgesichert wurden. Cisco hatte im Juli 2024 eine weitere SEG-Schwachstelle mit der Kennung CVE-2024-20401 behoben. Im Januar behob das Unternehmen anschließend eine kritische AsyncOS-Schwachstelle mit der Kennung CVE-2025-20393, die seit November 2025 ausgenutzt wurde. Im vergangenen Monat warnte Cisco vor einer weiteren Zero-Day-Schwachstelle bei der E-Mail-Analyse mit der Kennung CVE-2026-76461, die ebenfalls die Ausführung von Befehlen mit Root-Berechtigungen ermöglicht.