Cisco-E-Mail-Schwachstelle verschafft Angreifern Root-Zugriff

Cisco hat Sicherheitsupdates für eine kritische Schwachstelle in Secure Email Gateway veröffentlicht, die Angreifer als Zero-Day ausgenutzt haben. Die Schwachstelle ermöglicht es nicht authentifizierten entfernten Angreifern, Befehle mit Root-Rechten auszuführen.

Das Unternehmen forderte Kunden auf, die Sicherheitsupdates umgehend zu installieren. Gleichzeitig müssen US-Bundesbehörden betroffene Systeme bis zum 17. September aktualisieren.

Angreifer nutzen Cisco-E-Mail-Schwachstelle aus

Cisco gab die aktive Ausnutzung von CVE-2026-76461 in einer am Montag veröffentlichten Sicherheitsmeldung bekannt. Das Sicherheitsteam des Unternehmens erfuhr im September 2026 von den Angriffen.

Die Cisco-E-Mail-Schwachstelle betrifft die E-Mail-Verarbeitungsfunktion in AsyncOS Software. Sie betrifft sowohl virtuelle als auch physische Secure Email Gateway-Appliances.

Darüber hinaus ist jede Gerätekonfiguration anfällig. Administratoren können das Risiko daher nicht beseitigen, indem sie eine optionale Funktion deaktivieren oder eine bestimmte Einstellung ändern.

Angreifer benötigen keine gültigen Anmeldedaten, um die Schwachstelle auszunutzen. Sie können einen Angriff aus der Ferne durchführen, indem sie eine speziell präparierte E-Mail über ein betroffenes Gateway senden.

Eine erfolgreiche Ausnutzung verschafft dem Angreifer Kontrolle auf Root-Ebene über das zugrunde liegende Betriebssystem.

Schädliche E-Mails lösen Befehlsausführung aus

CVE-2026-76461 ist auf eine unzureichende Validierung innerhalb der E-Mail-Parsing-Logik der Software zurückzuführen.

Ein Angreifer kann eine E-Mail-Nachricht erstellen, die schädliche SQL-Anweisungen enthält. Das anfällige Gateway verarbeitet diesen Inhalt, während die Nachricht das Gerät durchläuft.

Dadurch kann der Angreifer beliebige SQL-Anweisungen auf dem System ausführen. Dieser Zugriff kann anschließend dazu führen, dass Betriebssystembefehle mit Root-Rechten ausgeführt werden.

Root stellt die höchste Berechtigungsstufe auf Unix-basierten Systemen dar. Daher könnte ein erfolgreicher Angreifer umfassende Kontrolle über die kompromittierte Appliance erlangen.

Der Eindringling könnte deren Konfiguration ändern, auf sensible Daten zugreifen oder zusätzliche schädliche Tools installieren. Darüber hinaus könnte der Angreifer das Gateway möglicherweise als Einstiegspunkt in das gesamte Netzwerk nutzen.

E-Mail-Gateways befinden sich in einer sensiblen Position, da Organisationen sie zwischen externen Absendern und internen E-Mail-Systemen einsetzen.

Cisco veröffentlicht Anzeichen für eine Kompromittierung

Cisco hat Indikatoren für eine Kompromittierung veröffentlicht, um Kunden bei der Untersuchung ihrer Appliances zu unterstützen.

Das Unternehmen empfiehlt, die mail_logs auf jedem Gerät innerhalb eines Clusters zu durchsuchen. Administratoren sollten nach verdächtigen SQL-Anweisungen suchen, die auf Ausnutzungsversuche hindeuten könnten.

Angreifer können jedoch lokale Beweise löschen, nachdem sie ein Gerät kompromittiert haben. Daher reicht die Überprüfung der Gateway-Protokolle allein möglicherweise nicht aus, um das gesamte Ausmaß eines Eindringens zu erkennen.

Sicherheitsteams sollten außerdem Netzwerk- und Firewall-Protokolle untersuchen. Sie sollten nach ungewöhnlicher Kommunikation mit unbekannten oder schädlichen externen IP-Adressen suchen.

Insbesondere sollten Sicherheitsteams unerwartete Uploads und Downloads untersuchen. Ungewöhnlicher ausgehender Datenverkehr kann auf Datendiebstahl oder die Kommunikation mit einer von Angreifern kontrollierten Infrastruktur hindeuten.

Organisationen, die Anzeichen für eine Ausnutzung feststellen, sollten die betroffene Appliance isolieren. Sie sollten außerdem umliegende Systeme auf Hinweise auf weitere Zugriffe untersuchen.

Hunderte Gateways bleiben online

Die Internetüberwachungsorganisation Shadowserver verfolgt derzeit mehr als 400 öffentlich zugängliche Cisco Secure Email Gateway-Appliances.

Die Zahl kann jedoch Forschungs-Honeypots umfassen. Sie zeigt außerdem nicht, wie viele mit dem Internet verbundene Geräte das Sicherheitsupdate bereits erhalten haben.

Dass ein Gateway über das Internet erreichbar ist, bestätigt nicht zwangsläufig, dass es anfällig ist. Die öffentliche Erreichbarkeit gibt Angreifern jedoch die Möglichkeit, schädliche Nachrichten direkt an die Appliance zu senden.

Da Cisco die aktive Ausnutzung bestätigt hat, sollten Administratoren die Installation der Updates als dringende Priorität behandeln.

US-Behörden erhalten Drei-Tage-Frist

Die US Cybersecurity and Infrastructure Security Agency nahm CVE-2026-76461 am Montag in ihren Known Exploited Vulnerabilities-Katalog auf.

Der Katalog enthält Sicherheitslücken, die Angreifer nachweislich bei realen Angriffen ausgenutzt haben.

CISA wies zivile US-Bundesbehörden an, betroffene Systeme innerhalb von drei Tagen zu aktualisieren. Die Frist endet am 17. September.

Obwohl die Vorgabe direkt für Bundesorganisationen gilt, nutzen private Unternehmen den Katalog häufig, um dringende Sicherheitsmaßnahmen zu priorisieren.

Die kurze Frist spiegelt den Schweregrad der Schwachstelle und ihre bestätigte aktive Ausnutzung wider.

Cisco behebt vier weitere kritische Schwachstellen

Cisco hat außerdem vier weitere kritische Schwachstellen behoben, die Secure Email Gateway- und Secure Email and Web Manager-Appliances betreffen.

Die Schwachstellen tragen die Kennungen CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 und CVE-2026-76443. Sie betreffen die Appliances unabhängig von ihrer Konfiguration.

Cisco hat jedoch keine Hinweise darauf gefunden, dass Angreifer diese vier Schwachstellen in aktiven Kampagnen ausgenutzt haben.

Das Unternehmen behob bereits im Januar eine weitere schwerwiegende AsyncOS-Schwachstelle. Angreifer hatten CVE-2025-20393 seit November 2025 gegen E-Mail-Sicherheits-Appliances ausgenutzt.

Vor Kurzem bestätigte Cisco außerdem, dass Ransomware-Akteure und staatlich unterstützte Gruppen zwei Schwachstellen im Secure Firewall Management Center ausgenutzt haben.

Seit November 2021 hat CISA 98 Cisco-Schwachstellen als aktiv ausgenutzt eingestuft. Ransomware-Gruppen haben mindestens sieben davon verwendet.

Diese Vorfälle unterstreichen, wie wichtig die schnelle Installation von Sicherheitsupdates ist. Organisationen sollten Appliances außerdem auf eine mögliche Kompromittierung untersuchen, da die Aktualisierung eines bereits kompromittierten Geräts den bestehenden Zugriff eines Angreifers nicht entfernt.