Cisco Secure Email Gateway: Kritische Lücke CVE-2026-76519 wird aktiv ausgenutzt

Eine kritische Schwachstelle in Cisco Secure Email Gateway wird nach Herstellerangaben bereits aktiv ausgenutzt. Der Fehler CVE-2026-76519 erreicht einen Schweregrad von 9,8 nach CVSS. Angreifer können unter bestimmten Konfigurationen manipulierte E-Mail-Anhänge nutzen, um Dateien auf der betroffenen Appliance zu schreiben und potenziell Befehle mit Root-Rechten auszuführen.

Wieso ausgerechnet der E-Mail-Scanner betroffen ist

Die Schwachstelle steckt in der Advanced-Malware-Protection-Funktion (AMP) und hängt mit einer unzureichenden Behandlung von Dateipfaden beim Verarbeiten von Anhängen zusammen. Besonders problematisch ist das, weil ein E-Mail-Sicherheitsgateway normalerweise gerade verdächtige Anhänge untersuchen soll. Der Angriff nutzt damit ausgerechnet den Prüfpfad aus.

Voraussetzung ist laut CERT-EU, dass der Dienst File Reputation aktiviert und einer Mail-Richtlinie zugeordnet ist sowie eine verwundbare Version der Content Scanner Tools verwendet wird. Nicht jede Cisco-Appliance und auch nicht jede Installation von Secure Email Gateway ist damit automatisch angreifbar.

Welche Versionen betroffen sind

CERT-EU nennt für Cisco AsyncOS unter anderem Versionen 15.5 vor 15.5.5-014, den Zweig 16.0 und 16.5 vor 16.5.0-780, wenn die genannten AMP-Voraussetzungen vorliegen. Entscheidend ist darüber hinaus die Scanner-Komponente: Content Scanner Tools 25.3.0.5525 und neuer enthalten nach der vorliegenden Herstellerinformation die Korrektur.

Cisco Secure Email Cloud Gateway erhält den Fix laut Hersteller bereits als betreuter Dienst. Secure Email and Web Manager sowie Secure Web Appliance sind von genau dieser Schwachstelle nicht betroffen. Für diese Produkte wäre eine pauschale Warnung daher falsch.

Was Administratoren jetzt tun sollten

1. Im Management-Interface unter den AMP-Einstellungen prüfen, ob File Reputation in eingehenden oder ausgehenden Mail-Richtlinien aktiviert ist.
2. In der CLI die Content-Scanner-Version mit contentscannerstatus ermitteln und mit dem korrigierten Stand vergleichen.
3. Die von Cisco freigegebene aktualisierte Scanner-Komponente beziehungsweise eine bereinigte AsyncOS-Version einspielen.
4. Logs auf Hinweise einer Kompromittierung untersuchen. Cisco nennt unter anderem die Suche nach System Security in den Systemprotokollen.
5. Bei Hinweisen auf einen Einbruch den Incident-Response-Prozess starten und auch benachbarte Cluster-Mitglieder untersuchen. Zwischen den Geräten verwendete SSH-Schlüssel können im Ernstfall ein zusätzliches Risiko darstellen.

Warum allein das Update nicht genügt

Weil der Hersteller aktive Ausnutzung bestätigt, reicht es bei einer verdächtigen Appliance nicht, nur den Scanner zu aktualisieren und den Vorfall als erledigt zu betrachten. Angreifer könnten bereits Dateien verändert, Zugänge missbraucht oder Spuren entfernt haben. In diesem Fall gehören Logauswertung, Sicherung forensischer Daten und Überprüfung erreichbarer Systeme zur Bereinigung.

Der Fehler betrifft spezialisierte Firmeninfrastruktur, nicht den gewöhnlichen Outlook- oder Thunderbird-Client. Für Unternehmen, die ihre E-Mail-Zustellung über solche Appliances absichern, ist die Lage dagegen akut.

Quelle: CERT-EU Security Advisory 2026-017, basierend auf Cisco PSIRT.