Cisco Secure Email Gateway: Die Anhangprüfung gibt Angreifern Root-Rechte

Eine einzige E-Mail mit präpariertem Anhang genügt, um Ciscos Secure Email Gateway mit Root-Rechten zu übernehmen. Die Lücke CVE-2026-76519 steckt ausgerechnet in der Dateiprüfung, die Anhänge auf Schadcode untersucht. Angreifer nutzen den Fehler bereits aus, schon im September hatte Cisco eine aktiv ausgenutzte Lücke im selben Gerät gemeldet.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 14. Oktober um 18 Uhr deutscher Zeit veröffentlichte Cisco den Sicherheitshinweis. Noch am selben Tag nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen auf, US-Bundesbehörden müssen bis zum 17. Oktober nachbessern.^[2]

Das Wichtigste in Kürze

• Über CVE-2026-76519 im Cisco Secure Email Gateway führen Angreifer ohne Zugangsdaten Befehle mit Root-Rechten aus, ein präparierter E-Mail-Anhang reicht.
• Angreifbar sind Geräte mit aktivem File-Reputation-Dienst und Content Scanner Tools vor Version 25.3.0.5525.
• Cisco und die US-Behörde CISA bestätigen Angriffe, ein Workaround fehlt.
• Ein Update der Content Scanner Tools behebt den Fehler ohne Neustart.

Welche Gateways sind angreifbar?

Gefährdet ist das Secure Email Gateway in physischer und virtueller Ausführung, sofern der Dienst File Reputation aus Ciscos Advanced Malware Protection einer Mail-Richtlinie zugewiesen ist und die Content Scanner Tools älter als Version 25.3.0.5525 sind. Cisco bewertet die Lücke mit 9,8 von 10 Punkten im CVSS-Schema, Konto, Passwort oder ein Klick eines Mitarbeiters sind für den Angriff nicht nötig.^[1]

Im Cloud-Gateway hat Cisco die Korrektur selbst eingespielt. Einige Cloud-Kunden schrieb der Konzern trotzdem direkt an, weil auf ihren Geräten Spuren eines Angriffs auftauchten.

Warum wird ausgerechnet der Virenschutz zum Einfallstor?

Für die Dateireputation liest das Gateway jeden Anhang ein, noch bevor der Empfänger sein Postfach öffnet. Cisco ordnet den Fehler der Schwachstellenklasse CWE-23 zu, der relativen Pfadüberschreitung: Ein Dateipfad mit Zeichenfolgen wie „../“ führt aus dem vorgesehenen Arbeitsordner heraus. Auf diesem Weg legt ein präparierter Anhang Dateien an beliebigen Stellen des Systems ab und bringt eigene Befehle mit Root-Rechten zur Ausführung.^[1]

Die Verwaltungsoberfläche lässt sich auf bekannte Adressen beschränken, den Mailport 25 kann dagegen kein Betreiber abschotten, ohne den eigenen Posteingang zu kappen. Einen Workaround bietet Cisco nicht an, allein das Update schließt die Lücke.

Wiederholt sich hier ein bekanntes Muster?

Mail-Gateways stehen am Netzrand und müssen Post von jedem Absender annehmen. 2023 nutzte eine China zugeordnete Gruppe eine Lücke in der Anhangprüfung des Barracuda Email Security Gateway monatelang aus. Barracuda riet betroffenen Kunden damals, die Geräte komplett auszutauschen, weil ein Update die Eindringlinge nicht sicher entfernte.

Bei Cisco reiht sich der Fall in eine Serie ein. Erst am 14. September meldete der Konzern die SQL-Injection CVE-2026-76461 im selben Gateway, ebenfalls aktiv ausgenutzt. Anfang Oktober traf eine ungepatchte Lücke die FortiMail-Gateways von Fortinet, wenige Tage später warnte Cisco vor fünf Root-Lücken in seinen Nexus-Switches.

Was müssen Betreiber jetzt tun?

Unter dem deutschen NIS2-Recht zählt das Schwachstellenmanagement zu den Pflichtmaßnahmen nach § 30 Abs. 2 Nr. 5 BSIG.^[3] Gilt ein Einbruch als erheblicher Sicherheitsvorfall, verlangt § 32 BSIG von wichtigen und besonders wichtigen Einrichtungen binnen 24 Stunden eine Erstmeldung.^[4] Über das Gateway läuft Geschäftspost mit personenbezogenen Daten, deshalb kann zusätzlich die 72-Stunden-Meldung nach Art. 33 DSGVO fällig werden. Diese Schritte nennt Cisco:

• Mit „contentscannerstatus“ die Version der Content Scanner Tools prüfen und das Paket per „contentscannerupdate“ aktualisieren, ein Neustart ist nicht nötig.
• AsyncOS auf 15.5.5-014 oder 16.5.0-780 bringen, für Version 16.0 gibt es kein eigenes AsyncOS-Update.
• In den system_logs nach „System Security“ suchen, bei Clustern auf jedem einzelnen Gerät.
• Bei Verdacht Forensikdaten sichern, virtuelle Geräte ohne alte Konfiguration neu aufsetzen, Zugangsdaten und Schlüssel erneuern.

Im Cluster reicht ein befallenes Gerät: Über die SSH-Schlüssel zwischen den Mitgliedern können Angreifer weitere Gateways übernehmen. Cisco rät deshalb, jedes Mitglied eines betroffenen Clusters neu aufzusetzen.^[1] Fehlt intern das Personal dafür, übernimmt ein IT-Systemhaus mit Managed Services den Neuaufbau.

FAQ: Cisco Secure Email Gateway: Die Anhangprüfung gibt Angreifern Root-Rechte

Quellen

Mehr Newshunger?

• Cisco ISE: Kritische Lücke lässt Angreifer die Anmeldung umgehen
• FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
• Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
• Kritische PAN-OS-Lücke gibt Angreifern Root-Rechte auf Palo-Alto-Firewalls
• Cisco: Wie verdient der heimliche Herr des Internets?