Cisco har udgivet sikkerhedsopdateringer til en kritisk sårbarhed i Secure Email Gateway, som angribere har udnyttet som en zero-day. Sårbarheden gør det muligt for uautoriserede eksterne angribere at udføre kommandoer med root-rettigheder.
Virksomheden opfordrede kunder til at installere sikkerhedsopdateringerne med det samme. Samtidig skal amerikanske føderale myndigheder opdatere berørte systemer senest den 17. september.
Angribere udnytter Cisco-e-mailsårbarhed
Cisco offentliggjorde den aktive udnyttelse af CVE-2026-76461 i en sikkerhedsmeddelelse, der blev offentliggjort mandag. Virksomhedens sikkerhedsteam blev opmærksom på angrebene i september 2026.
Cisco-e-mailsårbarheden påvirker e-mailbehandlingsfunktionen i AsyncOS Software. Den påvirker både virtuelle og fysiske Secure Email Gateway-enheder.
Desuden er alle enhedskonfigurationer sårbare. Derfor kan administratorer ikke eliminere risikoen ved at deaktivere en valgfri funktion eller ændre en bestemt indstilling.
Angribere behøver ikke gyldige loginoplysninger for at udnytte sårbarheden. De kan gennemføre et angreb eksternt ved at sende en særligt udformet e-mail gennem en berørt gateway.
En vellykket udnyttelse giver angriberen kontrol på root-niveau over det underliggende operativsystem.
Skadelige e-mails udløser kommandoudførelse
CVE-2026-76461 skyldes utilstrækkelig validering i softwarens logik til behandling af e-mails.
En angriber kan oprette en e-mail, der indeholder skadelige SQL-sætninger. Den sårbare gateway behandler dette indhold, når meddelelsen passerer gennem enheden.
Dermed kan angriberen udføre vilkårlige SQL-sætninger på systemet. Denne adgang kan derefter føre til, at operativsystemkommandoer udføres med root-rettigheder.
Root repræsenterer det højeste rettighedsniveau på Unix-baserede systemer. Derfor kan en vellykket angriber få omfattende kontrol over den kompromitterede enhed.
Indtrængeren kan ændre dens konfiguration, få adgang til følsomme data eller installere yderligere skadelige værktøjer. Desuden kan angriberen potentielt bruge gatewayen som et indgangspunkt til det bredere netværk.
E-mailgateways har en følsom position, fordi organisationer placerer dem mellem eksterne afsendere og interne e-mailsystemer.
Cisco deler indikatorer på kompromittering
Cisco har offentliggjort indikatorer på kompromittering for at hjælpe kunder med at undersøge deres enheder.
Virksomheden anbefaler at søge i mail_logs på hver enhed i en klynge. Administratorer bør lede efter mistænkelige SQL-sætninger, der kan indikere forsøg på at udnytte sårbarheden.
Angribere kan dog slette lokale beviser efter at have kompromitteret en enhed. Derfor vil en kontrol af gateway-logfilerne alene muligvis ikke afsløre det fulde omfang af et indbrud.
Sikkerhedsteams bør også undersøge netværks- og firewall-logfiler. De bør lede efter usædvanlig kommunikation med ukendte eller skadelige eksterne IP-adresser.
Forsvarere bør især undersøge uventede uploads og downloads. Usædvanlig udgående trafik kan indikere datatyveri eller kommunikation med angriberkontrolleret infrastruktur.
Organisationer, der finder tegn på udnyttelse, bør isolere den berørte enhed. De bør også undersøge omkringliggende systemer for tegn på yderligere adgang.
Hundredvis af gateways er stadig online
Internetovervågningsorganisationen Shadowserver sporer i øjeblikket mere end 400 offentligt eksponerede Cisco Secure Email Gateway-enheder.
Tallet kan dog omfatte honeypots til forskning. Det viser heller ikke, hvor mange internetvendte enheder der allerede har modtaget sikkerhedsopdateringen.
At en gateway er eksponeret mod internettet, bekræfter ikke nødvendigvis, at den er sårbar. Offentlig tilgængelighed giver dog angribere mulighed for at sende skadelige meddelelser direkte til enheden.
Da Cisco har bekræftet aktiv udnyttelse, bør administratorer behandle opdatering som en presserende prioritet.
Amerikanske myndigheder får tre dages frist
US Cybersecurity and Infrastructure Security Agency føjede mandag CVE-2026-76461 til sit Known Exploited Vulnerabilities-katalog.
Kataloget indeholder sikkerhedssårbarheder, som angribere beviseligt har udnyttet i virkelige hændelser.
CISA beordrede føderale civile myndigheder til at opdatere berørte systemer inden for tre dage. Fristen er den 17. september.
Selvom kravet gælder direkte for føderale organisationer, bruger private virksomheder ofte kataloget til at prioritere presserende sikkerhedsarbejde.
Den korte frist afspejler sårbarhedens alvor og den bekræftede aktive udnyttelse.
Cisco retter yderligere fire kritiske sårbarheder
Cisco rettede også fire andre kritiske sårbarheder, der påvirker Secure Email Gateway- og Secure Email and Web Manager-enheder.
Sårbarhederne har identifikatorerne CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 og CVE-2026-76443. De påvirker enhederne uanset deres konfiguration.
Cisco har dog ikke fundet beviser for, at angribere har udnyttet disse fire sårbarheder i aktive kampagner.
Virksomheden rettede tidligere en anden alvorlig AsyncOS-sårbarhed i januar. Angribere havde udnyttet CVE-2025-20393 mod e-mailsikkerhedsenheder siden november 2025.
For nylig bekræftede Cisco, at ransomware-operatører og statsstøttede grupper udnyttede to sårbarheder i Secure Firewall Management Center.
Siden november 2021 har CISA markeret 98 Cisco-sårbarheder som aktivt udnyttede. Ransomwaregrupper har brugt mindst syv af dem.
Disse hændelser understreger vigtigheden af at installere sikkerhedsopdateringer hurtigt. Organisationer bør også undersøge enheder for tegn på kompromittering, fordi opdatering af en tidligere kompromitteret enhed ikke fjerner en angribers eksisterende adgang.
0 svar til “Cisco-e-mailsårbarhed giver angribere root-adgang”