Cisco hat eine aktiv ausgenutzte Schwachstelle im Cisco Secure Email Gateway (SEG) offengelegt, die einem entfernten, nicht authentifizierten Angreifer erlauben kann, Befehle mit Root-Rechten auszuführen.
Das Unternehmen stuft CVE-2026-76519 als kritisch ein. Die Schwachstelle hat einen CVSS-v3.1-Wert von 9,8 und den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Bleeping Computer berichtete am 14. Oktober 2026, dass das Cisco PSIRT im Oktober von einer aktiven Ausnutzung erfahren hat. Cisco hat die Aktivität keinem Bedrohungsakteur zugeordnet und keine Angaben zu deren Umfang gemacht. Die verfügbaren Berichte lassen außerdem nicht erkennen, wie viele Systeme tatsächlich kompromittiert wurden.
Welche Cisco-Systeme betroffen sind
Die Schwachstelle liegt in der Funktion Advanced Malware Protection des Cisco Secure Email Gateway und wird als Problem der relativen Pfadtraversierung (Relative Path Traversal) eingestuft, CWE-23.
Laut dem Sicherheitshinweis von Cisco PSIRT sind physische und virtuelle SEG-Appliances nur dann verwundbar, wenn alle folgenden Bedingungen zutreffen:
- Die Appliance läuft mit einer verwundbaren Cisco-AsyncOS-Version.
- File Reputation, Teil von Cisco AMP, ist aktiviert und einer Mail-Policy zugewiesen.
- Content Scanner Tools ist älter als 25.3.0.5525.
Cisco nennt Content Scanner Tools 25.2.0.5427 als Beispiel für eine verwundbare Version.
Cisco Secure Email and Web Manager und Cisco Secure Web Appliance sind von CVE-2026-76519 nicht betroffen.
Shadowserver verfolgte nach Angaben von Bleeping Computer knapp 300 aus dem Internet erreichbare SEG-Instanzen. Diese Zahl gibt nicht die Anzahl verwundbarer oder kompromittierter Appliances an und kann gesicherte Systeme oder Honeypots einschließen.
Ein präparierter Anhang kann bis ins darunterliegende Betriebssystem reichen
CVE-2026-76519 entsteht durch unsachgemäße Verarbeitung von E-Mail-Anhängen, während File Reputation aktiv ist. Ein Angreifer kann die Schwachstelle ausnutzen, indem er einen speziell präparierten Anhang über ein betroffenes Gateway sendet.
Eine erfolgreiche Ausnutzung erlaubt beliebige Dateischreibvorgänge im darunterliegenden Betriebssystem. Diese Schreibvorgänge können anschließend zur Ausführung von Befehlen mit Root-Rechten führen, was einem Angreifer die höchste Kontrollstufe über die Appliance verschafft.
Für den Angriff sind weder Authentifizierung noch Benutzerinteraktion erforderlich. Die Ausnutzung hängt jedoch von der betroffenen Konfiguration der Mail-Verarbeitung und von der verwundbaren Version von Content Scanner Tools ab.
Administratoren können prüfen, ob File Reputation aktiviert ist, unter:
Mail Policies > Incoming Mail Policies > Advanced Malware Protection
oder:
Mail Policies > Outgoing Mail Policies > Advanced Malware Protection
Nach der Auswahl einer Mail-Policy prüfen Sie Enable File Reputation.
Die installierte Version von Content Scanner Tools lässt sich über die Kommandozeile prüfen:
contentscannerstatus
Eine korrigierte Installation muss 25.3.0.5525 oder neuer melden.
Behobene Versionen und erforderliche Migrationen
Laut Cisco gibt es keine Workarounds. Administratoren sollten eine korrigierte Version installieren oder – wenn für den aktuellen Zweig keine Korrektur vorliegt – auf eine solche migrieren.
| AsyncOS-Zweig | Ciscos erste korrigierte Version oder Maßnahme |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Keine korrigierte Version; auf eine korrigierte Version migrieren |
| 16.5 | 16.5.0-780 |
| Älter als 16.5 | Cisco empfiehlt dringend die Migration auf 16.5.0-780 |
Die Korrektur wird außerdem über Content Scanner Tools 25.3.0.5525 oder neuer an lizenzierte und unterstützte AsyncOS-Versionen ausgeliefert.
The Hacker News berichtet, dass Content Scanner Tools aktualisiert werden kann, ohne AsyncOS zu aktualisieren oder neu zu starten. Automatische Dienst-Updates haben das korrigierte Paket möglicherweise bereits installiert. Falls nicht, können Administratoren folgenden Befehl ausführen:
contentscannerupdate
Updates lassen sich außerdem unter Security Services > Service Updates aktivieren.
Für den 16.0-Zweig sollten Betreiber der ausdrücklichen Anweisung von Cisco zur Migration folgen und nicht davon ausgehen, dass ein Build, der eine andere SEG-Schwachstelle behebt, auch CVE-2026-76519 beseitigt.
So prüfen Sie auf Anzeichen einer Kompromittierung
Cisco weist Administratoren an, die Systemprotokolle der Appliance mit folgendem Befehl zu durchsuchen:
grep "System Security" system_logs
In Cluster-Umgebungen muss jedes Mitglied einzeln geprüft werden. Cisco ordnet den möglichen Meldungen folgende Maßnahmen zu:
-
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.
Cisco wertet dieses Ergebnis als erkannte Kompromittierung und weist den Kunden an, den Wiederherstellungsempfehlungen von Cisco zu folgen. -
System Security: Security scan did not complete. Contact TAC for further recommendations.
Wenden Sie sich für Unterstützung an das Cisco TAC. -
System Security: No compromise indicator was found.
Falls zutreffend, auf eine korrigierte Version aktualisieren.
Ein unauffälliges lokales Ergebnis ersetzt nicht die Prüfung externer Telemetriedaten. Da ein Angreifer mit Root-Zugriff Spuren auf dem Gateway löschen oder verbergen kann, empfiehlt Cisco nachdrücklich, Firewall- und Netzwerkprotokolle außerhalb der Appliance auszuwerten. Administratoren sollten nach unerwarteten Uploads zu externen IP-Adressen und Downloads von schädlichen IP-Adressen suchen.
Cisco erklärt, dass das Unternehmen Kunden von Secure Email Cloud, deren Geräte Hinweise auf eine mögliche Kompromittierung zeigten, direkt kontaktiert hat, und dass an Behebung und Wiederherstellung gearbeitet wird. Außerdem hat Cisco Gegenmaßnahmen in seiner Cloud-Verwaltungsumgebung bereitgestellt. Administratoren cloudverwalteter Geräte verfügen unter Umständen nicht über ausreichenden CLI-Zugriff, um die Prüfungen auf Appliance-Seite selbst durchzuführen.
Kompromittierte Appliances müssen neu aufgesetzt werden, nicht nur gepatcht
Bei einer physischen Appliance mit Anzeichen einer Kompromittierung weist Cisco Kunden an, das TAC zu kontaktieren und den Remotezugriff zu aktivieren, um die Untersuchung zu unterstützen.
Für virtuelle Appliances empfiehlt Cisco folgende Reihenfolge:
- Forensische Daten gemäß der Richtlinie der Organisation für die Vorfallbehandlung sichern. Ein Upgrade einer kompromittierten Instanz zerstört Protokolle und andere forensische Informationen.
- Eine neue virtuelle Maschine mit einer korrigierten Version bereitstellen.
- Die Konfiguration neu aufbauen, ohne Konfigurationsdateien vom kompromittierten System zu importieren.
- Auf der Appliance installierte Zugangsdaten und kryptografisches Material austauschen.
- Die Überwachung auf ungewöhnliche Aktivitäten fortsetzen.
Cluster-Umgebungen erfordern umfassendere Maßnahmen. Mitglieder authentifizieren sich untereinander mit SSH-Schlüsselpaaren; private Schlüssel, die von einer kompromittierten Appliance abgegriffen werden, könnten daher andere Mitglieder gefährden. Cisco empfiehlt deshalb dringend, jedes Mitglied eines Clusters neu aufzusetzen, sobald mindestens ein Mitglied kompromittiert ist.
Systeme ohne Verdacht auf Ausnutzung sollten so bald wie betrieblich möglich auf eine korrigierte Version aktualisiert werden oder Content Scanner Tools 25.3.0.5525 oder neuer erhalten.
