Cisco Secure Email Gateway: Root-Lücke aktiv ausgenutzt

Cisco hat am 14. September 2026 ein Security Advisory zu CVE-2026-76461 veröffentlicht, einer kritischen Schwachstelle in der E-Mail-Parsing-Logik von Cisco AsyncOS für das Cisco Secure Email Gateway. Die Lücke hat einen CVSS-3.1-Basiswert von 9.8 und erlaubt einem nicht authentifizierten Angreifer aus der Ferne, über eine präparierte E-Mail SQL-Anweisungen einzuschleusen und daraus Befehle mit Root-Rechten auf dem darunterliegenden Betriebssystem auszuführen. Cisco bestätigt aktive Ausnutzung.

Betroffen sind ausschließlich Secure-Email-Gateway-Appliances, physisch wie virtuell, und zwar unabhängig von der Konfiguration. Nicht betroffen sind laut Cisco der Secure Email and Web Manager sowie die Secure Web Appliance. Wer ein solches Gateway betreibt, sollte heute handeln: Es gibt keinen Workaround, nur das Update. Die US-Behörde CISA hat die Lücke am 14. September in den KEV-Katalog aufgenommen und Bundesbehörden eine Frist bis zum 17. September 2026 gesetzt. Wer kein Secure Email Gateway einsetzt, sondern Postfix, Exchange, Microsoft 365 oder ein anderes Mail-Gateway, ist von dieser CVE nicht betroffen.

Was ist passiert?

Cisco hat unter der Advisory-ID cisco-sa-esa-inj-2bLVGmhX am 14. September 2026 um 16:00 GMT eine als kritisch eingestufte Schwachstelle offengelegt. Ursache ist eine unzureichende Validierung in der Logik, mit der das Gateway eingehende E-Mails zerlegt. Ein Angreifer schickt schlicht eine E-Mail über das betroffene Gerät, in der er SQL-Anweisungen unterbringt. Diese Anweisungen werden anschließend ausgeführt.

Weil die Datenbank auf dem Gerät mit hohen Rechten läuft, bleibt es nicht bei SQL. Cisco beschreibt den Ausgang der Kette ausdrücklich als Befehlsausführung mit Root-Rechten auf dem darunterliegenden Betriebssystem. Formal ist die Lücke als CWE-89 (SQL Injection) klassifiziert, praktisch ist sie eine vollständige Übernahme der Appliance. Die interne Bug-ID lautet CSCwu56234.

Besonders relevant ist der Angriffsweg: Ein Mail-Gateway nimmt von außen E-Mails an, das ist seine Aufgabe. Damit ist der Angriffspfad genau der Verkehr, den das Gerät ohnehin verarbeiten muss. Eine Authentifizierung ist nicht nötig, eine Benutzerinteraktion ebenfalls nicht. Cisco gibt an, im September 2026 auf die aktive Ausnutzung aufmerksam geworden zu sein, nennt aber keine Angreifergruppe und keine Zahl betroffener Kunden.

Wer ist betroffen?

Betroffen ist Cisco AsyncOS für das Cisco Secure Email Gateway, früher als IronPort ESA bekannt. Cisco nennt ausdrücklich beide Varianten, Hardware-Appliance und virtuelle Appliance, und stellt klar, dass die Konfiguration keine Rolle spielt. Auch Cisco Secure Email Cloud enthält Secure-Email-Gateway-Instanzen; diese hat Cisco nach eigenen Angaben bereits auf Release 16.5.0-780 gehoben.

Nicht betroffen sind nach Herstellerangaben der Cisco Secure Email and Web Manager (früher SMA) und die Cisco Secure Web Appliance (früher WSA). Wer ausschließlich diese Produkte betreibt, muss für diese CVE nichts patchen.

AsyncOS-Release-Zweig	Status	Erste fehlerbereinigte Version
15.5 und älter	verwundbar	15.5.5-014
16.0	verwundbar	16.0.4-302
16.5	verwundbar	16.5.0-780

Cisco empfiehlt für die Zweige 15.5 und 16.0 ausdrücklich, statt der jeweiligen Minimalkorrektur direkt auf Release 16.5.0-780 zu migrieren. Hinweis zur Quellenlage: The Hacker News nennt für den Zweig 15.5 die Version 15.5.5-0141, im Cisco-Advisory selbst steht 15.5.5-014. Maßgeblich ist die Herstellerangabe im Advisory.

Wie kritisch ist das?

Der CVSS-3.1-Basiswert liegt bei 9.8 von 10, Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Jede einzelne Komponente zeigt das Problem: Angriff über das Netz, geringe Komplexität, keine Rechte nötig, keine Benutzerinteraktion, und Vertraulichkeit, Integrität sowie Verfügbarkeit jeweils vollständig betroffen.

Technisch handelt es sich nicht um eine lokale Rechteausweitung und nicht um einen reinen Datenabfluss, sondern um eine per E-Mail auslösbare Befehlsausführung mit Root-Rechten aus der Ferne. Auf einem Mail-Gateway bedeutet Root-Zugriff außerdem Zugriff auf den gesamten durchlaufenden Mailverkehr, auf hinterlegte Zugangsdaten und auf Zertifikate und Schlüssel der Appliance.

Die CISA hat CVE-2026-76461 am 14. September 2026 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen, mit Fälligkeit 17. September 2026 für US-Bundesbehörden. Die Einstufung der CISA-Entscheidungslogik lautet Ausnutzung aktiv, automatisierbar ja, technische Auswirkung vollständig. Eine Nutzung in Ransomware-Kampagnen ist laut KEV-Eintrag bislang nicht bekannt, der Eintrag steht dort auf unbekannt.

Cisco weist zusätzlich auf ein Nachweisproblem hin: Weil Angreifer nach erfolgreicher Ausnutzung Root-Rechte besitzen, können sie Spuren und Indikatoren auf dem Gerät selbst entfernen oder verstecken. Ein sauberes Log auf der Appliance ist daher kein Freispruch.

Was sollten Admins jetzt tun?

Inventar prüfen: Feststellen, ob überhaupt ein Cisco Secure Email Gateway im Einsatz ist, physisch oder virtuell, und ob eine Secure-Email-Cloud-Instanz genutzt wird. Secure Email and Web Manager und Secure Web Appliance sind nicht betroffen.
Version feststellen: Die laufende AsyncOS-Version über die Weboberfläche oder per CLI ermitteln und gegen die Tabelle oben halten. Alles unterhalb von 15.5.5-014, 16.0.4-302 beziehungsweise 16.5.0-780 ist verwundbar.
Patchen, nicht umgehen: Cisco nennt ausdrücklich keinen Workaround. Update über System Administration, Upgrade Options, Download and Install oder per CLI mit upgrade und der Option DOWNLOADINSTALL. Das Gerät startet nach dem Upgrade neu, ein Wartungsfenster ist einzuplanen.
Internet-exponierte Geräte zuerst: Gateways, die direkt aus dem Internet Mails annehmen, haben Vorrang vor internen Relays. Cluster-Mitglieder alle einzeln behandeln.
Logs auf Kompromittierung prüfen: In den mail_logs nach verdächtigen SQL-Anweisungen suchen. Cisco nennt als nicht abschließendes Beispiel den Aufruf grep -i "COPY.*TO PROGRAM" mail_logs auf der Appliance-CLI. Jeder Treffer ist ein Verdachtsfall. Bei Clustern die Logs jedes einzelnen Geräts prüfen.
Externe Logs gegenprüfen: Weil Spuren auf dem Gerät manipulierbar sind, Firewall- und Netzwerklogs außerhalb der Appliance auswerten, insbesondere auf unerwartete Uploads von der Appliance zu externen IP-Adressen oder Downloads von auffälligen Adressen.
Bei Verdacht richtig reagieren: Bei physischen Appliances empfiehlt Cisco den Kontakt zum TAC. Bei virtuellen Appliances zuerst forensische Daten sichern, dann eine neue VM mit einem korrigierten Release aufsetzen, die Konfiguration neu aufbauen und anschließend Zugangsdaten und kryptografisches Material erneuern.
Härten: Zugriff auf die Appliance aus dem Internet unterbinden, Management und Mailverkehr auf getrennte Netzwerkschnittstellen legen, HTTP für das Admin-Portal deaktivieren, nicht benötigte Dienste abschalten und Logs auf einen externen Server ausleiten.
Backup und Nachweis: Vor dem Upgrade Konfigurationssicherung ziehen und aufbewahren. Externe Logkopien sind im Verdachtsfall die einzige verlässliche Beweisgrundlage.

Einordnung für Unternehmen

Die Zahl der kleinen und mittleren Unternehmen mit einem eigenen Cisco Secure Email Gateway ist überschaubar; das Produkt steht eher in größeren Umgebungen und bei Dienstleistern. Genau deshalb lohnt der Blick über die eigene Appliance hinaus: Wer sein Mail-Routing an einen Provider oder ein Systemhaus ausgelagert hat, sollte dort nachfragen, ob dessen Gateways betroffen waren und ob bereits gepatcht wurde. Ein kompromittiertes Gateway beim Dienstleister betrifft den gesamten Mailverkehr seiner Kunden.

Inhaltlich reiht sich der Fall in ein Muster ein, das 2026 mehrfach zu beobachten war: Sicherheits-Appliances am Netzrand sind selbst ein lohnendes Ziel. Sie stehen exponiert, verarbeiten fremde Daten und laufen mit hohen Rechten. Für die Praxis heißt das, Edge-Geräte in der Patch-Priorisierung vor interne Systeme zu setzen und ihre Logs nach außen zu spiegeln, bevor ein Vorfall eintritt.

Der zweite Punkt betrifft die Nachweisfähigkeit. Cisco sagt selbst, dass Angreifer mit Root-Rechten Spuren entfernen können. Wer keine externe Logablage hat, kann nach einem solchen Vorfall weder Kompromittierung belegen noch Unbedenklichkeit. Das ist kein Cisco-spezifisches Problem, sondern gilt für jede Appliance im Perimeter.

Ob die aktive Ausnutzung breit gestreut oder gezielt erfolgt, ist offen. Cisco hat nach eigenen Angaben betroffene Secure-Email-Cloud-Kunden direkt kontaktiert, aber weder Umfang noch Akteure genannt. Diese Lücke in der Faktenlage sollte nicht durch Spekulation gefüllt werden. Für die Handlungsentscheidung ist sie ohnehin unerheblich: Patchstand prüfen und aktualisieren ist in beiden Fällen die richtige Reaktion.

Passende Anleitungen auf S-EDV

CISA-Dreierwarnung zu Cisco, Citrix und Fortinet: wie sich Edge-Geräte in der Patch-Priorisierung sinnvoll einordnen lassen.
Mailserver nativ mit Postfix, Dovecot und Rspamd aufsetzen: Aufbau und Absicherung eines eigenen Mail-Stacks, inklusive Logging und Filterung.
Cisco FMC: Auth-Bypass-Lücken CVE-2026-20316 und CVE-2026-20079: ein weiterer Fall aus dem Cisco-Umfeld mit aktiver Ausnutzung.

Was ist passiert?

Wer ist betroffen?

Wie kritisch ist das?

Was sollten Admins jetzt tun?

Einordnung für Unternehmen

Passende Anleitungen auf S-EDV

Quellen

Weiter lesen

Smart Glasses im Unternehmen: Hamburger Prüfbericht schränkt die DSGVO-Haushaltsausnahme ein

Revolut gab Kundendaten nach gefälschter Behördenanfrage heraus

Forgejo schließt kritische Codeausführungslücke in Vorlagen-Repositories