Cisco-Mail-Gateway: Präparierte E-Mail verschafft Root-Zugriff : CVE-2026-76461 wird bereits ausgenutzt – ein Update allein könnte nicht mehr reichen

Cisco warnt vor einer kritischen Schwachstelle in AsyncOS für Cisco Secure Email Gateway. CVE-2026-76461 erreicht einen CVSS-Wert von 9,8 und betrifft physische wie virtuelle Appliances unabhängig von ihrer Konfiguration. Secure Email and Web Manager sowie Secure Web Appliance sind laut Cisco nicht verwundbar.

Technisch handelt es sich um unzureichende Validierung beim Parsen eingehender E-Mails. Ein Angreifer kann eine speziell präparierte Nachricht mit manipulierten SQL-Anweisungen durch das Gateway schicken. Daraus kann eine SQL Injection entstehen, die schließlich Befehle auf dem darunterliegenden Betriebssystem ausführt – mit Root-Rechten und ohne vorherige Authentifizierung. Cisco beschreibt den Angriff in seinem Security Advisory zu CVE-2026-76461.

Kein Workaround – Update zwingend erforderlich

Cisco stellt keine Umgehungslösung bereit. Gefixt sind die folgenden Versionen:

• AsyncOS 15.5 und älter: 15.5.5-014
• AsyncOS 16.0: 16.0.4-302
• AsyncOS 16.5: 16.5.0-780

Cisco empfiehlt ausdrücklich den Wechsel auf 16.5.0-780. Die Secure-Email-Cloud-Systeme des Herstellers wurden nach dessen Angaben bereits auf diese Version aktualisiert.

Root-Zugriff erschwert die Spurensuche

Besonders problematisch ist der erreichte Berechtigungslevel. Angreifer mit Root-Rechten können nicht nur weitere Komponenten manipulieren, sondern möglicherweise auch Belege ihres Eindringens entfernen. Cisco warnt deshalb, dass „evidence of exploitation and indicators of compromise“ verborgen oder gelöscht werden könnten.

Administratoren sollen deshalb nicht allein den betroffenen Host untersuchen. In mail_logs sollte insbesondere nach verdächtigen SQL-Anweisungen gesucht werden. Cisco nennt dafür:

grep -i „COPY.*TO PROGRAM“ mail_logs

Jeder Treffer kann auf einen Angriffsversuch hindeuten. Bei Clustern müssen die Logs jedes einzelnen Knotens geprüft werden. Zusätzlich empfiehlt Cisco den Abgleich mit extern gespeicherten Netzwerk- und Firewall-Logs, etwa auf unerwartete Uploads zu externen IP-Adressen oder Downloads von verdächtigen Systemen. Bei möglicherweise kompromittierten virtuellen Appliances geht Cisco noch weiter: Forensische Daten sollen zunächst gesichert, anschließend eine neue VM mit bereinigter Software aufgebaut, die Konfiguration neu erstellt sowie Zugangsdaten und kryptografisches Material erneuert werden.

CISA setzt extrem kurze Frist

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-76461 in ihren Known Exploited Vulnerabilities Catalog (KEV) aufgenommen. Bundesbehörden der Federal Civilian Executive Branch müssen die Schwachstelle bis 17. September 2026 beheben. Der zugehörige CISA-Hinweis vom 14. September unterstreicht die Dringlichkeit.

Parallel massenhafte Angriffe auf Fortinet-VPNs

Zeitgleich zeigt ein weiterer Vorfall, wie stark exponierte Infrastruktur im Fokus steht. Arctic Wolf beobachtete Ende August zwei Angriffswellen auf öffentlich erreichbare Fortinet-VPN-Systeme mit zig Millionen fehlgeschlagenen Anmeldeversuchen. Verwendet wurden nicht nur generische Kontonamen, sondern Mitarbeiter-, Firmen- und Administratoridentitäten.

Sicherheitsforscher Kyle Siddall wertet dies als Hinweis auf zuvor gesammelte oder systematisch ermittelte Identitätsdaten; technische Details veröffentlichte er auf GitHub. In mindestens einem beobachteten Fall folgte auf eine erfolgreiche VPN-Anmeldung weitere bösartige Aktivität. Für Betreiber von Cisco Secure Email Gateway bedeutet CVE-2026-76461 mehr als ein gewöhnliches Patch-Ereignis: Wer eine verwundbare Version betrieben hat, sollte nicht nur aktualisieren, sondern von einem möglichen Sicherheitsvorfall ausgehen und die Umgebung entsprechend untersuchen.