Cisco Secure Email Gateway: Weitere Zero-Day-Lücke unter Angriff

Cisco warnt vor einer zweiten aktiv ausgenutzten Schwachstelle im Secure Email Gateway. CVE-2026-76519 steckt in der Advanced Malware Protection. Angreifer schreiben darüber ohne Anmeldung Dateien auf das System. Cisco bewertet die Lücke mit CVSS 9,8 als kritisch.

Die Meldung vom 14. Oktober ersetzt die Warnung aus dem September nicht. Damals ging es um CVE-2026-76461, eine SQL-Injection im selben Produkt. Beide Lücken bestehen unabhängig voneinander und verlangen getrennte Prüfungen.

Neu ist vor allem, woran die Betroffenheit diesmal hängt. Ein Blick auf die AsyncOS-Version allein reicht nicht aus.

Was ermöglicht CVE-2026-76519?

Die Lücke liegt in der Verarbeitung von E-Mail-Anhängen, sobald der File-Reputation-Dienst aktiv ist. Ein nicht authentifizierter Angreifer schickt eine E-Mail mit präpariertem Anhang durch das betroffene Gerät.

Gelingt der Angriff, schreibt er beliebige Dateien auf das darunterliegende Betriebssystem und führt Befehle mit Root-Rechten aus. Workarounds nennt Cisco keine.

Gefunden hat Cisco die Schwachstelle bei einem internen Sicherheitsscan. Im Oktober wurde das PSIRT dann auf aktive Ausnutzung aufmerksam.

Welche Geräte sind betroffen?

Betroffen sind physische und virtuelle Cisco Secure Email Gateways, wenn eine verwundbare AsyncOS-Version läuft und beide der folgenden Bedingungen zutreffen: Der File-Reputation-Dienst aus dem AMP-Paket ist aktiviert und einer Mail Policy zugewiesen, und die Content Scanner Tools liegen in einer Version vor 25.3.0.5525 vor.

Trifft nur eine der beiden Bedingungen zu, ist das Gerät nach Cisco-Angaben nicht angreifbar. Genau diese Komponentenprüfung unterscheidet den aktuellen Fall von der September-Meldung.

Nicht betroffen sind Secure Email and Web Manager sowie Secure Web Appliance. Für Cisco Secure Email Cloud müssen Kunden nach Herstellerangaben nichts tun, dort läuft bereits eine korrigierte Version der Content Scanner Tools.

Wie prüfen Administratoren die beiden Bedingungen?

Den File-Reputation-Status zeigt die Weboberfläche unter Mail Policies, dann Incoming oder Outgoing Mail Policies und Advanced Malware Protection. Das Häkchen bei „Enable File Reputation“ verrät, ob der Dienst für die jeweilige Policy aktiv ist.

Die Version der Content Scanner Tools liefert der Befehl contentscannerstatus auf der Kommandozeile. Liegt sie unter 25.3.0.5525, besteht Handlungsbedarf.

Wie schließen Unternehmen die Lücke?

Cisco verteilt den Fix auf zwei Wegen. Der schnellere führt über die Content Scanner Tools. Ab Version 25.3.0.5525 ist die Lücke geschlossen, und das Update verlangt weder ein Software-Upgrade noch einen Neustart. Wer automatische Updates aktiviert hat, muss nichts weiter tun. Alle anderen stoßen das Update mit contentscannerupdate manuell an.

Parallel nennt Cisco korrigierte AsyncOS-Versionen: 15.5.5-014 für die 15.5er-Reihe und 16.5.0-780 für 16.5. Für die 16.0er-Reihe gibt es keinen eigenen Fix, hier führt der Weg auf eine korrigierte Version. Allen Kunden unterhalb von 16.5 empfiehlt Cisco den Wechsel auf 16.5.0-780.

Welche Angriffsspuren sollten Sie prüfen?

Cisco nennt einen konkreten Prüfbefehl. Mit grep „System Security“ system_logs lassen sich drei mögliche Meldungen auslesen. Ein gefundener Kompromittierungsindikator verweist auf die Empfehlungen des Advisories, ein nicht abgeschlossener Sicherheitsscan auf den Cisco TAC.

Gehört das Gerät zu einem Cluster, prüfen Sie die Logs jedes Mitglieds. In der Cloud-Variante fehlt Administratoren ohne CLI-Zugang diese Möglichkeit. Cisco hat betroffene Cloud-Kunden nach eigenen Angaben direkt kontaktiert.

Ein Vorbehalt bleibt. Nach einem erfolgreichen Angriff haben Angreifer Root-Rechte und können Spuren entfernen. Cisco empfiehlt deshalb ausdrücklich den Abgleich mit Netzwerk- und Firewall-Logs außerhalb des betroffenen Geräts.

Was gilt bei einem Verdacht auf Kompromittierung?

Bei physischen Appliances verweist Cisco auf den TAC. Bei virtuellen Geräten empfiehlt der Hersteller einen Neuaufbau: forensische Daten sichern, eine neue VM mit korrigierter Version aufsetzen, die Konfiguration ohne alte Konfigurationsdateien neu erstellen und sämtliche Zugangsdaten sowie kryptografisches Material erneuern.

Besonders wichtig ist der Clusterhinweis. Zwischen Clustermitgliedern authentifizieren SSH-Schlüsselpaare. Nach einer erfolgreichen Ausnutzung können Angreifer die privaten Schlüssel auslesen und damit weitere Mitglieder übernehmen. Cisco rät deshalb, jedes Mitglied eines betroffenen Clusters neu aufzusetzen.

Zwei Lücken, zwei Prüfwege

Für Security-Verantwortliche heißt das vor allem eines: Die Prüfung aus dem September deckt den aktuellen Fall nicht ab. CVE-2026-76461 betraf die SQL-Verarbeitung, CVE-2026-76519 betrifft die Anhangprüfung über AMP.

Wer im September aktualisiert hat, sollte deshalb erneut nachsehen, ob File Reputation aktiv ist und welche Version der Content Scanner Tools läuft. Die Details zur ersten Lücke stehen im Beitrag zum Zero-Day vom September.

Quelle: Cisco Security Advisory: Cisco Secure Email Gateway Arbitrary File Write Vulnerability