Cisco har lansert sikkerhetsoppdateringer for en kritisk sårbarhet i Secure Email Gateway som angripere har utnyttet som en zero-day. Sårbarheten gjør det mulig for uautentiserte eksterne angripere å kjøre kommandoer med root-rettigheter.
Selskapet oppfordret kunder til å installere sikkerhetsoppdateringene umiddelbart. Samtidig må amerikanske føderale myndigheter oppdatere berørte systemer innen 17. september.
Angripere utnytter Cisco-e-postsårbarhet
Cisco offentliggjorde den aktive utnyttelsen av CVE-2026-76461 i en sikkerhetsmelding publisert mandag. Selskapets sikkerhetsteam fikk kjennskap til angrepene i september 2026.
Cisco-e-postsårbarheten påvirker e-postbehandlingsfunksjonaliteten i AsyncOS Software. Den påvirker både virtuelle og fysiske Secure Email Gateway-enheter.
Dessuten er alle enhetskonfigurasjoner sårbare. Administratorer kan derfor ikke eliminere risikoen ved å deaktivere en valgfri funksjon eller endre en bestemt innstilling.
Angripere trenger ikke gyldig påloggingsinformasjon for å utnytte svakheten. De kan gjennomføre et angrep eksternt ved å sende en spesiallaget e-post gjennom en berørt gateway.
Vellykket utnyttelse gir angriperen kontroll på root-nivå over det underliggende operativsystemet.
Skadelige e-poster utløser kommandoutførelse
CVE-2026-76461 skyldes utilstrekkelig validering i programvarens logikk for behandling av e-post.
En angriper kan lage en e-postmelding som inneholder skadelige SQL-setninger. Den sårbare gatewayen behandler dette innholdet når meldingen passerer gjennom enheten.
Dermed kan angriperen kjøre vilkårlige SQL-setninger på systemet. Denne tilgangen kan deretter føre til at operativsystemkommandoer kjøres med root-rettigheter.
Root representerer det høyeste rettighetsnivået på Unix-baserte systemer. En vellykket angriper kan derfor få omfattende kontroll over den kompromitterte enheten.
Inntrengeren kan endre konfigurasjonen, få tilgang til sensitive data eller installere ytterligere skadelige verktøy. Videre kan angriperen potensielt bruke gatewayen som et inngangspunkt til det øvrige nettverket.
E-postgatewayer har en sensitiv posisjon fordi organisasjoner plasserer dem mellom eksterne avsendere og interne e-postsystemer.
Cisco deler indikatorer på kompromittering
Cisco har publisert indikatorer på kompromittering for å hjelpe kunder med å undersøke enhetene sine.
Selskapet anbefaler å søke i mail_logs på hver enhet i en klynge. Administratorer bør se etter mistenkelige SQL-setninger som kan indikere forsøk på å utnytte sårbarheten.
Angripere kan imidlertid slette lokale bevis etter å ha kompromittert en enhet. Derfor vil en kontroll av gateway-loggene alene kanskje ikke avdekke hele omfanget av et innbrudd.
Sikkerhetsteam bør også undersøke nettverks- og brannmurlogger. De bør se etter uvanlig kommunikasjon med ukjente eller skadelige eksterne IP-adresser.
Forsvarere bør spesielt undersøke uventede opplastinger og nedlastinger. Uvanlig utgående trafikk kan indikere datatyveri eller kommunikasjon med angriperkontrollert infrastruktur.
Organisasjoner som finner tegn på utnyttelse, bør isolere den berørte enheten. De bør også undersøke omkringliggende systemer for tegn på ytterligere tilgang.
Hundrevis av gatewayer er fortsatt på nett
Internettovervåkingsorganisasjonen Shadowserver sporer for tiden mer enn 400 offentlig eksponerte Cisco Secure Email Gateway-enheter.
Tallet kan imidlertid inkludere honeypots brukt til forskning. Det viser heller ikke hvor mange internettilkoblede enheter som allerede har mottatt sikkerhetsoppdateringen.
At en gateway er eksponert mot internett, bekrefter ikke nødvendigvis at den er sårbar. Offentlig tilgjengelighet gir likevel angripere mulighet til å sende skadelige meldinger direkte til enheten.
Fordi Cisco har bekreftet aktiv utnyttelse, bør administratorer behandle oppdatering som en presserende prioritet.
Amerikanske myndigheter får tre dagers frist
US Cybersecurity and Infrastructure Security Agency la mandag til CVE-2026-76461 i sin Known Exploited Vulnerabilities-katalog.
Katalogen inneholder sikkerhetssårbarheter som angripere beviselig har utnyttet i reelle hendelser.
CISA beordret føderale sivile myndigheter til å oppdatere berørte systemer innen tre dager. Fristen er 17. september.
Selv om kravet gjelder direkte for føderale organisasjoner, bruker private selskaper ofte katalogen til å prioritere presserende sikkerhetsarbeid.
Den korte fristen gjenspeiler sårbarhetens alvorlighetsgrad og den bekreftede aktive utnyttelsen.
Cisco retter fire ytterligere kritiske sårbarheter
Cisco rettet også fire andre kritiske sårbarheter som påvirker Secure Email Gateway- og Secure Email and Web Manager-enheter.
Sårbarhetene har identifikatorene CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 og CVE-2026-76443. De påvirker enhetene uavhengig av konfigurasjon.
Cisco har imidlertid ikke funnet bevis for at angripere har utnyttet disse fire sårbarhetene i aktive kampanjer.
Selskapet rettet tidligere en annen alvorlig AsyncOS-sårbarhet i januar. Angripere hadde utnyttet CVE-2025-20393 mot e-postsikkerhetsenheter siden november 2025.
Mer nylig bekreftet Cisco at løsepengevirusaktører og statsstøttede grupper utnyttet to sårbarheter i Secure Firewall Management Center.
Siden november 2021 har CISA markert 98 Cisco-sårbarheter som aktivt utnyttet. Løsepengevirusgrupper har brukt minst sju av dem.
Disse hendelsene understreker viktigheten av å installere sikkerhetsoppdateringer raskt. Organisasjoner bør også undersøke enheter for tegn på kompromittering, fordi oppdatering av en tidligere kompromittert enhet ikke fjerner en angripers eksisterende tilgang.
0 responses to “Cisco-e-postsårbarhet gir angripere root-tilgang”