Swiss KMU Cyber-Alert: Cisco Secure Email Gateway – aktiv ausgenutzte Lücke erlaubt Root-Befehle per E-Mail-Anhang
Cisco bestätigt aktive Angriffe auf CVE-2026-76519 im Secure Email Gateway. Ein präparierter Anhang kann beim Scannen auf einer betroffenen lokalen Appliance ohne Anmeldung beliebige Dateien schreiben und Root-Befehle ausführen.
Falls Ihr Unternehmen oder IT-Dienstleister ein physisches oder virtuelles Cisco Secure Email Gateway betreibt, sollte heute die Content-Scanner-Version geprüft und auf 25.3.0.5525 oder neuer aktualisiert sowie nach Kompromittierungsspuren gesucht werden.
Was ist passiert?
Cisco veröffentlichte am 14. Oktober 2026 eine kritische Warnung zu CVE-2026-76519 mit CVSS 9.8 und bestätigte aktive Ausnutzung im Oktober. Die Schwachstelle entsteht bei der Verarbeitung von Anhängen durch die Advanced-Malware-Protection-Funktion. Ein Angreifer muss lediglich eine präparierte E-Mail durch das Gateway senden; eine Anmeldung ist nicht erforderlich.
Könnte mein Unternehmen betroffen sein?
Betroffen sind physische und virtuelle Cisco Secure Email Gateways, wenn der File-Reputation-Dienst einer Mail-Policy zugewiesen ist und Content Scanner Tools älter als 25.3.0.5525 verwendet werden. Cisco Secure Email Cloud Gateway ist bereits geschützt und benötigt keine Kundenmassnahme. Secure Email and Web Manager sowie Secure Web Appliance sind nicht betroffen.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister jetzt mit folgenden Schritten:
Content Scanner Tools auf Version 25.3.0.5525 oder neuer bringen beziehungsweise auf AsyncOS 15.5.5-014 oder 16.5.0-780 aktualisieren; für AsyncOS 16.0 ist eine Migration auf einen korrigierten Release nötig.
Kontrollieren, ob automatische Content-Scanner-Updates aktiviert waren und das Update tatsächlich eingespielt wurde. Die vorhandene Auto-Update-Funktion allein ist keine Bestätigung.
Die system_logs auf Cisco-Meldungen zu «System Security» prüfen und externe Netzwerk- und Firewall-Logs auf ungewöhnliche Uploads oder Downloads untersuchen. Bei Verdacht Cisco TAC einbeziehen und forensische Daten vor Änderungen sichern.
Wie dringend ist es?
Kritisch – Prüfung sofort. Die Lücke wird aktiv ausgenutzt, benötigt keine Anmeldung und kann Root-Kontrolle über ein E-Mail-Sicherheitsgateway ermöglichen. Nur Cisco Secure Email Cloud Gateway ist nach Herstellerangaben bereits zentral geschützt.
Informationen für Ihren IT-Dienstleister
Voraussetzungen: File Reputation aus Cisco AMP ist aktiviert und einer Mail-Policy zugeordnet; Content Scanner Tools ist älter als 25.3.0.5525. Cisco nennt als erste korrigierte AsyncOS-Releases 15.5.5-014 und 16.5.0-780; Release 16.0 muss migriert werden. Es gibt keinen Workaround. Nach erfolgreicher Ausnutzung können Spuren verborgen werden; Cisco empfiehlt deshalb zusätzlich die Prüfung externer Logs. Bei einer kompromittierten virtuellen Appliance empfiehlt Cisco eine Neuinstallation, neue Konfiguration sowie die Erneuerung von Zugangsdaten und kryptografischem Material.
