Ein Cisco Secure Email Gateway lässt sich mit einer einzigen präparierten E-Mail übernehmen. Cisco warnte am 14. September vor der aktiv ausgenutzten Lücke CVE-2026-76461 mit dem CVSS-Wert 9,8.[1] Ein Passwort oder eine besondere Einstellung am Gerät brauchen die Täter nicht. Ihre Befehle laufen danach mit Root-Rechten auf genau dem Filter, der die gesamte Firmenpost prüft.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- CVE-2026-76461 steckt in der E-Mail-Verarbeitung von AsyncOS und betrifft physische wie virtuelle Secure Email Gateways in jeder Konfiguration.
- Cisco bestätigt Angriffe, auch auf Geräte der Secure Email Cloud. Die Täter sind bislang unbekannt.
- Einen Workaround bietet Cisco nicht an. Die Fixes heißen 15.5.5-014, 16.0.4-302 und 16.5.0-780.
Wie wird aus einer E-Mail ein Root-Zugang?
Die Mail schleust SQL-Befehle ein, die das Gateway als Shell-Befehle ausführt. AsyncOS validiert beim Zerlegen eingehender Nachrichten die Inhalte nicht ausreichend. Cisco stuft den Fehler als SQL-Injection nach CWE-89 ein.[1] Den Weg zur Kommandozeile verrät die Spur, nach der Administratoren in den Mail-Protokollen suchen sollen: „COPY … TO PROGRAM“. Diese Anweisung gehört zum Befehlsvorrat von PostgreSQL und startet ein Programm auf dem Server, sobald das Datenbankkonto die nötigen Rechte besitzt.[2] Der so erzeugte Shell-Befehl läuft auf dem Gateway mit Root-Rechten.
Warum schützt die Firewall das Gateway diesmal nicht?
Im Dezember 2025 meldete Cisco die Root-Lücke CVE-2025-20393 mit dem Höchstwert 10,0.[3] Angreifbar waren damals nur Geräte mit aktivierter Spam-Quarantäne, deren Quarantäne-Zugang aus dem Internet erreichbar war. Ab Werk ist diese Funktion abgeschaltet, eine Firewall-Regel genügte als Schutz. Cisco Talos schrieb die Kampagne einer mutmaßlich chinesischen Gruppe namens UAT-9686 zu, die eine Hintertür installierte und mit einem eigenen Werkzeug Protokolleinträge entfernte.[4]
Bei CVE-2026-76461 entfällt die Vorbedingung. Ein Mail-Gateway nimmt Nachrichten aus dem Internet an, genau dafür steht das Gerät am Netzrand. Ciscos eigene Härtungsempfehlung, das Gerät vom Internet abzuschotten, läuft beim Mailempfang ins Leere. Anders als 2025 fand Cisco diesmal auch Spuren auf Geräten der Secure Email Cloud und schrieb die betroffenen Kunden direkt an.
Ein Mail-Gateway lässt sich nicht vom Internet trennen, ohne dass die Firmenpost stehen bleibt. Bei der zweiten Root-Lücke im selben Cisco-Gerät binnen neun Monaten fehlt Administratoren damit jede Notlösung außer dem Update.
— Michael Dobler, Herausgeber Dr. Web
Sicherheitsgeräte am Netzrand geraten seit Wochen ins Visier. Erst vor wenigen Tagen meldete Palo Alto Networks eine kritische PAN-OS-Lücke, die Angreifern Root-Rechte auf Firewalls verschafft. Die CISA warnte zuletzt auch vor einer Firewall-Lücke bei Cisco, im Juli kaperten Angreifer Fortinets FortiSandbox.
Aktiv ausgenutzt, ohne Anmeldung, in jeder Konfiguration
Spur in den Protokollen: Einträge mit „COPY … TO PROGRAM“ in den mail_logs deuten auf einen Angriff hin. Prüfen Sie in einem Cluster jedes Gerät einzeln, denn Angreifer mit Root-Rechten können Spuren direkt auf dem Gateway verwischen.
Was müssen Betreiber im DACH-Raum jetzt tun?
Die Meldefristen laufen beim Betreiber des Geräts. Das Gateway liest jede eingehende Mail samt Namen, Adressen und Anhängen. Ein erfolgreicher Angriff kann deshalb eine Datenpanne nach Artikel 33 DSGVO sein, die Verantwortliche binnen 72 Stunden an die Aufsichtsbehörde melden müssen. NIS2-pflichtige Einrichtungen schicken nach § 32 BSIG zusätzlich spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls eine Erstmeldung an die gemeinsame Meldestelle von BSI und BBK.[5] Vier Schritte stehen jetzt an:
- Die AsyncOS-Version prüfen und auf 16.5.0-780 aktualisieren. Diese Version empfiehlt Cisco für alle Zweige.
- Die mail_logs aller Cluster-Geräte nach „COPY … TO PROGRAM“ durchsuchen.
- Firewall- und Netzprotokolle außerhalb des Gateways auf unerwartete Uploads an fremde IP-Adressen auswerten.
- Bei einem Treffer Beweise sichern, virtuelle Geräte neu aufsetzen sowie Zugangsdaten und Schlüsselmaterial erneuern.
Das Update beseitigt die Lücke, aber keine bereits installierte Hintertür. Cisco rät deshalb bei kompromittierten virtuellen Geräten zum Neuaufbau, bei physischen Geräten zum Kontakt mit dem Support. Wie sich der Postverkehr grundsätzlich absichern lässt, beschreibt der Beitrag zur sicheren E-Mail im Unternehmen. Den Rahmen für den Ernstfall liefern die Cybersecurity-Grundlagen.
Quellen
[1] Cisco: „Cisco Secure Email Gateway SQL Injection Vulnerability“
[2] PostgreSQL Global Development Group: „COPY“ (PostgreSQL-Dokumentation)
[4] Cisco Talos: „UAT-9686 actively targets Cisco Secure Email Gateway and Secure Email and Web Manager“
[5] Bundesministerium der Justiz: „§ 32 BSIG: Meldepflichten“
Mehr Newshunger?
- Kritische PAN-OS-Lücke gibt Angreifern Root-Rechte auf Palo-Alto-Firewalls
- Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
- GitLab-Lücke CVE-2026-85706: Eine Anfrage liest jede Datei vom Server
- CrowdStrike Falcon: Zero-Day macht die Schutzsoftware zur Angriffsfläche
- Vom Schutzschild zum Einfallstor: Angreifer kapern Fortinets FortiSandbox
- Cisco: Wie verdient der heimliche Herr des Internets?
