Cisco Secure Email Gateway: CVE-2026-76519 wird aktiv ausgenutzt, Root per E-Mail-Anhang

Cisco hat am 14. Oktober 2026 bestätigt, dass eine zweite kritische Lücke im Cisco Secure Email Gateway innerhalb eines Monats aktiv ausgenutzt wird. CVE-2026-76519 (CVSS 9.8) steckt in der Funktion Advanced Malware Protection (AMP) und erlaubt einem nicht authentifizierten Angreifer, per präpariertem E-Mail-Anhang beliebige Dateien zu schreiben und Befehle mit Root-Rechten auszuführen. Die CISA hat die Lücke noch am selben Tag in ihren KEV-Katalog aufgenommen.

Betroffen sind nur On-Premises-Gateways, physisch oder virtuell, auf denen der File-Reputation-Dienst einer Mail-Policy zugewiesen ist und die Content Scanner Tools älter als 25.3.0.5525 sind. Nicht betroffen sind Secure Email and Web Manager, Secure Web Appliance und Gateways ohne aktivierte File Reputation. Wer ein Gateway mit AMP betreibt, sollte heute Version und Kompromittierungsindikatoren prüfen, nicht erst im nächsten Wartungsfenster. Die Lücke CVE-2026-76461 aus dem September, über die S-EDV bereits berichtet hat, ist ein anderer Fehler mit anderem Angriffsweg.

Was ist passiert?

Unter der Advisory-ID cisco-sa-esa-afw-zqYJkjxp hat Cisco am 14. Oktober 2026 um 16:00 UTC die Warnung „Cisco Secure Email Gateway Arbitrary File Write Vulnerability“ veröffentlicht. Ursache ist eine fehlerhafte Verarbeitung von E-Mail-Anhängen, wenn der Dateireputationsdienst aktiv ist. Die CISA führt die Schwachstelle als relativen Path Traversal (CWE-23). Ein Angreifer muss lediglich eine E-Mail mit einem manipulierten Anhang durch das Gateway schicken. Gelingt der Angriff, kann er Dateien auf dem darunterliegenden Betriebssystem ablegen und daraus Befehle mit Root-Rechten ausführen.

Gefunden wurde die Lücke laut Advisory bei einem internen Sicherheitsscan, von der aktiven Ausnutzung erfuhr das Cisco PSIRT im Oktober 2026. Angreifer, Opferzahl oder Angriffsdetails nennt Cisco nicht.

Bemerkenswert ist der Ablauf: Die korrigierten AsyncOS-Versionen 15.5.5-014 und 16.5.0-780 gibt es bereits seit dem 14. September 2026. Laut SecurityWeek lief der Fehler damals unter dem Sammel-Hardening-Advisory mit CVE-2026-76440, das Cisco am 14. Oktober um einen Verweis auf die neue Warnung ergänzt hat. Wer im September aktualisiert hat, ist bereits geschützt.

Wer ist betroffen?

Verwundbar ist ein Cisco Secure Email Gateway mit anfälliger AsyncOS-Version nur, wenn beide Bedingungen gleichzeitig zutreffen:

• Der File-Reputation-Dienst, Teil von Cisco AMP, ist aktiviert und mindestens einer eingehenden oder ausgehenden Mail-Policy zugewiesen.
• Die installierten Content Scanner Tools sind älter als Version 25.3.0.5525.

Laut Fixed-Software-Tabelle gelten folgende erste korrigierte Releases:

• AsyncOS 15.5: behoben ab 15.5.5-014.
• AsyncOS 16.0: kein eigener Fix, Migration auf ein korrigiertes Release erforderlich.
• AsyncOS 16.5: behoben ab 16.5.0-780, Cisco empfiehlt allen Kunden unterhalb von 16.5 die Migration auf diese Version.

Unabhängig vom AsyncOS-Release verteilt Cisco den Fix zusätzlich über das Paket Content Scanner Tools 25.3.0.5525. Ausdrücklich nicht betroffen sind Secure Email and Web Manager und Secure Web Appliance. Kunden von Cisco Secure Email Cloud müssen nichts installieren, Cisco hat die korrigierten Content Scanner Tools dort selbst ausgerollt.

Wie kritisch ist das?

Für Betreiber eines betroffenen Gateways ist die Lage akut: Remote Code Execution ohne Anmeldung und ohne Benutzerinteraktion, am Ende steht die vollständige Übernahme der Appliance. Angriffsweg ist der normale Mailverkehr aus dem Internet, eine Abschottung per Firewall scheidet damit aus. Einen Workaround gibt es nicht.

Gesichert ist laut Herstellerangabe und CISA-Katalog die aktive Ausnutzung. Die CISA hat US-Bundesbehörden eine Frist bis zum 17. Oktober 2026 gesetzt und den Eintrag mit forensischer Nachprüfung (Forensic Triage) markiert. Ob die Lücke für Ransomware genutzt wird, ist laut KEV unbekannt. BleepingComputer verweist auf Daten von Shadowserver, wonach knapp 300 Secure Email Gateways direkt aus dem Internet erreichbar sind, ohne dass bekannt ist, wie viele davon bereits abgesichert sind.

Zusätzliches Risiko in Clustern: Die Gateways authentifizieren sich untereinander per SSH-Schlüsselpaar. Nach einer Kompromittierung können diese privaten Schlüssel weitere Cluster-Mitglieder gefährden, Cisco empfiehlt daher, jedes Mitglied eines betroffenen Clusters neu aufzusetzen.

Was sollten Admins jetzt tun?

• Inventar prüfen: Auf jedem Gateway per CLI contentscannerstatus ausführen und die Version der Content Scanner Tools ablesen. Alles unter 25.3.0.5525 ist anfällig.
• File Reputation prüfen: In der Weboberfläche unter Mail Policies, Incoming beziehungsweise Outgoing Mail Policies, Advanced Malware Protection kontrollieren, ob das Kästchen „Enable File Reputation“ gesetzt ist.
• Patch einspielen: Mit contentscannerupdate die Content Scanner Tools manuell aktualisieren. Laut Cisco ist dafür weder ein Software-Upgrade noch ein Neustart nötig. Alternativ AsyncOS auf 15.5.5-014 oder 16.5.0-780 anheben.
• Automatische Updates aktivieren: Unter Security Services, Service Updates die Option „Automatic Updates“ setzen und die Änderung committen. Gateways mit aktiven Auto-Updates haben den Fix bereits erhalten, sobald das Paket eingespielt wurde.
• Kompromittierung prüfen, idealerweise vor dem Update: grep "System Security" system_logs auf jedem Gerät und jedem Cluster-Mitglied ausführen. Die Meldung „Suspected compromise indicator was found“ bedeutet einen erkannten Einbruch, „Security scan did not complete“ erfordert Kontakt zum Cisco TAC.
• Externe Logs auswerten: Weil Angreifer mit Root-Rechten Spuren löschen können, Firewall- und Netzwerk-Logs außerhalb des Gateways auf unerwartete Uploads vom Gerät zu externen IP-Adressen und Downloads von verdächtigen Adressen durchsuchen.
• Bei Verdacht auf virtuellen Appliances: zuerst forensische Daten sichern, denn ein Upgrade zerstört Logs. Danach eine neue VM mit korrigiertem Release aufsetzen, die Konfiguration ohne Import alter Dateien neu aufbauen und alle Zugangsdaten sowie kryptografischen Schlüssel erneuern.
• Bei Verdacht auf physischen Appliances: laut Cisco das TAC kontaktieren und den Remote-Zugang für die Untersuchung freigeben.
• Cloud-Kunden, die Cisco angeschrieben hat: Zugangsdaten und Schlüssel erneuern, Zugriff auf die Appliance einschränken.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die Meldung vor allem relevant, wenn ein Dienstleister ein Cisco Secure Email Gateway vor dem eigenen Mailserver betreibt. Dort ist AMP mit File Reputation oft genau deshalb aktiv, weil Anhänge geprüft werden sollen. Ausgerechnet diese Schutzfunktion ist hier der Angriffsweg. Als erster Schritt genügt die Frage an den Dienstleister nach Content-Scanner-Version und Ergebnis der Log-Prüfung.

Wichtig ist die Reihenfolge: Ein bloßes Update schließt die Lücke, entfernt aber keinen bereits eingenisteten Angreifer. Ein übernommenes Mail-Gateway sieht den gesamten Mailverkehr und hält Schlüssel und Zugangsdaten vor, die Prüfung auf Kompromittierungsindikatoren gehört deshalb zwingend dazu. Zwei ausgenutzte Root-Lücken binnen eines Monats sprechen zudem dafür, automatische Service-Updates aktiv zu lassen und die Gateways in ein zentrales Log-Monitoring einzubinden.

Passende Anleitungen auf S-EDV

• Cisco Secure Email Gateway: CVE-2026-76461 wird aktiv ausgenutzt: Hintergrund zur ersten Root-Lücke vom September, die über das Mail-Parsing angreifbar war.
• Cybervorfall: die ersten Stunden, Forensik und Spuren sichern: wie Logs und Beweise gesichert werden, bevor ein kompromittiertes System neu aufgesetzt wird.
• Wazuh mit Docker als XDR und SIEM: zentrale Auswertung von Firewall- und Systemlogs außerhalb der betroffenen Appliance.

Quellen

• Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp: Secure Email Gateway Arbitrary File Write Vulnerability (14.10.2026)
• Cisco Security Advisory: Secure Email Gateway und Secure Email and Web Manager Security Hardening Release September 2026
• CISA Known Exploited Vulnerabilities Catalog, Eintrag CVE-2026-76519 vom 14.10.2026
• BleepingComputer: Cisco patcht erneut ausgenutzte Zero-Day-Lücke im Secure Email Gateway
• SecurityWeek: Cisco warnt vor ausgenutzter Lücke im Secure Email Gateway
• Borns IT- und Windows-Blog: Angriffe auf kritische Schwachstelle CVE-2026-76519