Cisco hat CVE-2026-76519 behoben, eine kritische Lücke im Secure Email Gateway: Eine E-Mail mit präpariertem Anhang reicht, um Dateien zu schreiben und Befehle als root auf der Appliance auszuführen. Laut Cisco wird sie bereits ausgenutzt; CISA setzte US-Behörden eine Frist bis zum 17. Oktober.
Was geschah
Am 14. Oktober 2026 veröffentlichte Cisco einen Hinweis zu CVE-2026-76519 (CVSS 9,8), einer Lücke in der Funktion Advanced Malware Protection (AMP) des Cisco Secure Email Gateway, der lokal betriebenen E-Mail-Filter-Appliance. Nach Angaben des Herstellers erfuhr sein Sicherheitsteam im Oktober von einer aktiven Ausnutzung. Am selben Tag nahm CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf, mit einer Frist bis zum 17. Oktober für US-Bundesbehörden.
Der Fehler steckt in der Verarbeitung von Anhängen, wenn der Dateireputationsdienst aktiv ist. Eine Anmeldung ist nicht nötig: Eine E-Mail mit präpariertem Anhang, die durch das Gateway läuft, genügt, um beliebige Dateien auf das System zu schreiben und Befehle mit root-Rechten auszuführen. Einen Workaround gibt es laut Cisco nicht.
Wer betroffen ist
Physische und virtuelle Appliances sind verwundbar, wenn zwei Bedingungen erfüllt sind: File Reputation ist in einer Mail-Richtlinie aktiviert (Mail Policies > Advanced Malware Protection), und das Paket Content Scanner Tools ist älter als 25.3.0.5525. Secure Email and Web Manager und Secure Web Appliance sind nicht betroffen. Beim Secure Email Cloud Gateway hat Cisco den Fix nach eigenen Angaben bereits eingespielt.
Was jetzt zu tun ist
- Version prüfen mit dem CLI-Befehl
contentscannerstatus. Unter 25.3.0.5525 sind Sie gefährdet. - Paket aktualisieren mit
contentscannerupdate: Weder Neustart noch AsyncOS-Upgrade sind nötig; Appliances mit automatischen Updates erhalten es selbst. - AsyncOS-Upgrade einplanen: 15.5.5-014 oder 16.5.0-780. Cisco empfiehlt, alles vor 16.5 auf 16.5.0-780 zu bringen.
- Nach Spuren suchen: in
system_logsnach System-Security-Meldungen suchen und Firewall- sowie Netzwerkprotokolle auf unerwartete Uploads von der Appliance prüfen, denn mit Root-Rechten kann ein Angreifer lokale Spuren löschen. - Bei Verdacht auf Kompromittierung bei physischen Geräten den Cisco TAC kontaktieren; virtuelle Appliances mit gepatchter Software neu aufsetzen, ohne die alte Konfigurationsdatei zu importieren, und Zugangsdaten sowie Schlüssel erneuern. In einem Cluster jedes Mitglied wiederherstellen, da die gemeinsam genutzten SSH-Schlüssel gestohlen sein könnten.
Unsere Einschätzung
Ein Mail-Gateway liest jede Nachricht an das Unternehmen und ist damit für jeden mit einer E-Mail-Adresse erreichbar. Eine Sicherheitskomponente, die Anhänge öffnet, muss so schnell gepatcht werden wie ein VPN, und ihr ausgehender Verkehr gehört von außerhalb des Geräts überwacht.
Quellen
- Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp)
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-76519
- The Hacker News — Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Ist Ihr eigener Server angreifbar? Machen Sie einen kostenlosen Test — nur öffentliche Informationen, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
