Cisco har släppt säkerhetsuppdateringar för en kritisk sårbarhet i Secure Email Gateway som angripare har utnyttjat som en zero-day. Sårbarheten gör det möjligt för oautentiserade fjärrangripare att köra kommandon med root-behörighet.
Företaget uppmanade kunder att installera säkerhetsuppdateringarna omedelbart. Samtidigt måste amerikanska federala myndigheter uppdatera berörda system senast den 17 september.
Angripare utnyttjar Cisco-e-postsårbarhet
Cisco offentliggjorde det aktiva utnyttjandet av CVE-2026-76461 i en säkerhetsbulletin som publicerades på måndagen. Företagets säkerhetsteam fick kännedom om attackerna i september 2026.
Cisco-e-postsårbarheten påverkar e-posthanteringsfunktionen i AsyncOS Software. Den påverkar både virtuella och fysiska Secure Email Gateway-enheter.
Dessutom är alla enhetskonfigurationer sårbara. Därför kan administratörer inte eliminera risken genom att inaktivera en valfri funktion eller ändra en specifik inställning.
Angripare behöver inte giltiga inloggningsuppgifter för att utnyttja sårbarheten. De kan genomföra en attack på distans genom att skicka ett särskilt utformat e-postmeddelande via en berörd gateway.
Ett framgångsrikt utnyttjande ger angriparen kontroll på root-nivå över det underliggande operativsystemet.
Skadliga e-postmeddelanden utlöser kommandoexekvering
CVE-2026-76461 beror på otillräcklig validering i programvarans logik för tolkning av e-postmeddelanden.
En angripare kan skapa ett e-postmeddelande som innehåller skadliga SQL-satser. Den sårbara gatewayen behandlar detta innehåll när meddelandet passerar genom enheten.
Därmed kan angriparen köra godtyckliga SQL-satser på systemet. Denna åtkomst kan sedan leda till att operativsystemkommandon körs med root-behörighet.
Root representerar den högsta behörighetsnivån på Unix-baserade system. Därför kan en framgångsrik angripare få omfattande kontroll över den komprometterade enheten.
Inkräktaren kan ändra dess konfiguration, komma åt känsliga uppgifter eller installera ytterligare skadliga verktyg. Dessutom kan angriparen potentiellt använda gatewayen som en ingångspunkt till det bredare nätverket.
E-postgateways har en känslig position eftersom organisationer placerar dem mellan externa avsändare och interna e-postsystem.
Cisco delar indikatorer på intrång
Cisco har publicerat indikatorer på intrång för att hjälpa kunder att undersöka sina enheter.
Företaget rekommenderar att söka i mail_logs på varje enhet i ett kluster. Administratörer bör leta efter misstänkta SQL-satser som kan tyda på försök att utnyttja sårbarheten.
Angripare kan dock radera lokala bevis efter att ha komprometterat en enhet. Därför kanske en kontroll av enbart gatewayens loggar inte visar hela omfattningen av ett intrång.
Säkerhetsteam bör även granska nätverks- och brandväggsloggar. De bör leta efter ovanlig kommunikation med okända eller skadliga externa IP-adresser.
Försvarare bör särskilt undersöka oväntade uppladdningar och nedladdningar. Ovanlig utgående trafik kan tyda på datastöld eller kommunikation med angriparkontrollerad infrastruktur.
Organisationer som hittar tecken på utnyttjande bör isolera den berörda enheten. De bör också undersöka omgivande system efter bevis på ytterligare åtkomst.
Hundratals gateways är fortfarande online
Internetövervakningsorganisationen Shadowserver spårar för närvarande fler än 400 offentligt exponerade Cisco Secure Email Gateway-enheter.
Siffran kan dock inkludera honeypots för forskning. Den visar inte heller hur många internetanslutna enheter som redan har fått säkerhetsuppdateringen.
Att en gateway är exponerad mot internet bekräftar inte nödvändigtvis att den är sårbar. Offentlig åtkomst ger dock angripare möjlighet att skicka skadliga meddelanden direkt till enheten.
Eftersom Cisco har bekräftat aktivt utnyttjande bör administratörer behandla uppdateringen som en brådskande prioritet.
Amerikanska myndigheter får tre dagars tidsfrist
USA:s Cybersecurity and Infrastructure Security Agency lade på måndagen till CVE-2026-76461 i sin Known Exploited Vulnerabilities-katalog.
Katalogen listar säkerhetsbrister som angripare bevisligen har utnyttjat i verkliga incidenter.
CISA beordrade federala civila myndigheter att uppdatera berörda system inom tre dagar. Tidsfristen löper ut den 17 september.
Även om kravet direkt gäller federala organisationer använder privata företag ofta katalogen för att prioritera brådskande säkerhetsarbete.
Den korta tidsfristen återspeglar sårbarhetens allvarlighetsgrad och det bekräftade aktiva utnyttjandet.
Cisco åtgärdar ytterligare fyra kritiska sårbarheter
Cisco åtgärdade även fyra andra kritiska sårbarheter som påverkar Secure Email Gateway och Secure Email and Web Manager-enheter.
Sårbarheterna har identifierarna CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 och CVE-2026-76443. De påverkar enheterna oavsett konfiguration.
Cisco har dock inte hittat några bevis för att angripare har utnyttjat dessa fyra sårbarheter i aktiva kampanjer.
Företaget åtgärdade tidigare en annan allvarlig AsyncOS-sårbarhet i januari. Angripare hade utnyttjat CVE-2025-20393 mot e-postsäkerhetsenheter sedan november 2025.
På senare tid bekräftade Cisco att ransomware-operatörer och statsstödda grupper utnyttjade två sårbarheter i Secure Firewall Management Center.
Sedan november 2021 har CISA markerat 98 Cisco-sårbarheter som aktivt utnyttjade. Ransomware-grupper har använt minst sju av dem.
Dessa incidenter understryker vikten av att installera säkerhetsuppdateringar snabbt. Organisationer bör också kontrollera enheter efter tecken på intrång eftersom en uppdatering av en tidigare komprometterad enhet inte tar bort en angripares befintliga åtkomst.
0 svar till ”Cisco-e-postsårbarhet ger angripare root-åtkomst”