Cisco Alarm und Patch kritische Sicherheitslücke in Secure Email Gateway (CVE-2026-76461)

Cisco warnte vor einer kritischen Schwachstelle in AsyncOS für sein Secure Email Gateway (SEG), das bereits in realen Umgebungen genutzt wird. Der Fehler, identifiziert als CVE-2026-76461 und mit einem CVSS-Score von 9.8 / 10, ermöglicht es einem entfernten und unauthenticated Angreifer eine speziell manipulierte E-Mail zu senden, deren Verarbeitung zur Ausführung von beliebigen Befehlen mit Root-Privilegien im zugrunde liegenden Betriebssystem führen kann.

Laut der offiziellen Mitteilung ist die Wurzel des Problems eine unzureichende Validierung in der Logik, die eingehende Nachrichten verarbeitet und parses. Cisco beschreibt, dass eine schädliche Nachricht ausnutzbare SQL Sätze enthalten kann; die Ausführung dieser Sätze könnte zur system-level Ausführung von Befehlen führen. Geprüft: Cisco hat korrigierte Versionen und Staaten veröffentlicht, dass die aktive Ausbeutung in der Natur erkannt wurde; außerdem fügte die United States Cybersecurity and Infrastructure Agency (CISA) die CVE-2026-76461 in ihren Katalog Known Exploited Vulnerabilities (KEV) hinzu, der die Verpflichtung zur Anwendung von Patches in Bundesagenturen vor dem 17. September 2026 auferlegte. Die Registerkarte CVE und der CISA-Eintrag stehen unter folgenden Links zur Verfügung: NVD - CVE-2026-76461 und CISA KEV - CVE-2026-76461.

Technisch beschreibt Cisco den Vektor als Einfügen von SQL Sätzen in den Postfluss, die vor der Ausführung durch interne Komponenten der SGE nicht korrekt neutralisiert werden. Als nützlicher Indikator von Cisco, müssen die Mail-Service-Textaufzeichnungen (Mail _ Protokolle) für Muster überprüft werden, die übereinstimmen COPY. * TO PROGRAMME, da die Anwesenheit dieser Kette in den Logs kann zeigen, dass Versuche, SQL-Anweisungen zu verwenden, die das Betriebssystem anrufen. Das Unternehmen lieferte die empfohlene Inspektionssuche:grep -i "COPY. * TO PROGRAMME" [route _ to _ mail _ logs](bei Cisco-Teams, die Standardroute ist mail _ logs).

Betroffene Erzeugnisse (bestätigt): Cisco Secure Email Gateway, in physischen und virtuellen Versionen, unabhängig von der Konfiguration des Geräts. Cisco hat ausdrücklich darauf hingewiesen, dass andere Produkte wie Secure Email und Web Manager und Secure Web Application nicht betroffen sind.

Verfügbare Lösungen (bestätigt): Cisco veröffentlichte Patches / Fixes in den folgenden Zweigen von AsyncOS: für die 15.5 Serie (korrigiert in 15.5.5-0141), 16.0 (korrigiert in 16.0.4-302) und 16.5 (korrigiert in 16.5.0-780). Die offizielle Anmerkung stellt fest, dass es keine vollständigen alternativen Lösungen gibt: Die einzige wirksame Maßnahme ist, auf eine korrigierte Version zu aktualisieren.

Cisco behauptet, direkt kontaktiert Kunden, deren Cloud-Geräte schädliche Aktivität zeigte, aber nicht den numerischen Umfang der Vorfälle offen gelegt. Geprüft: Cisco warnt, dass, wenn die Operation erfolgreich ist, die Angreifer erhalten Befehlsausführung mit Root-Privilegien und können Beweise innerhalb des betroffenen Geräts entfernen oder ändern. Aus diesem Grund empfiehlt das Unternehmen auch, externe Datensätze (Netzwerk- und Firewall-Looms) zu überprüfen, die vom kompromittierten SEG nicht manipuliert werden können, um anormale Aktivität zu entdecken, vom Gerät auf externe IP hochgeladen oder Downloads aus bösartigen Richtungen.

Es gibt Aspekte, die zu dieser Zeit öffentlich unsicher bleiben: Cisco hat keine ausführlichen technischen Details der verwendeten Explosion veröffentlicht, noch hat sie vollständige Netzengagement-Indikatoren (IoC) oder die Gesamtzahl der betroffenen Geräte offengelegt. Auch die Familie oder Identität der Akteure, die das Scheitern ausnutzen, wurde nicht bestätigt.

Aus einer praktischen technischen Perspektive, der Bezug auf das Muster "COPY... TO PROGRAMME" schlägt einen Vektor vor, in dem SQL Sätze mit der Fähigkeit zum Aufruf von Betriebssystemprozessen als Hebel zur Skala zur Befehlsausführung verwendet werden. Angemessene Schätzung (nicht von Cisco bestätigt): In einigen SQL-Engines ermöglicht die COPY TO PROGRAMME-Anweisung, Datenbankdaten an die Ausführung eines Systemprogramms zu richten; wenn die SEG-Komponente SQL-Eingänge direkt ohne Sanitation verarbeitet, könnte dieses Verhalten der Pfad sein, um Shell-Befehle auszuführen. Diese Erklärung ist eine technische Interpretation der Indikatoren, die Cisco bestätigte, nicht eine offizielle Erklärung zur internen Architektur.

Was Manager und Sicherheitsbeamte tun sollten (betonte und priorisierte Schritte):

1) Sofort. Aktualisieren Sie jedes Cisco Secure E-Mail-Gateway, das von Cisco als Priorität angezeigt wird. Wenn möglich, machen Sie das Update aus Produktionsstunden mit einem Rollback-Plan.

2) Inspektion der lokalen Anmeldung. Führen Sie die von Cisco bereitgestellte Suche auf allen Mail _ logs und auf jedem Cluster-Gerät: grep -i "COPY. * TO PROGRAMME" mail _ logs (passen Sie die Route nach Ihrer Installation an). Jeder Zufall sollte als ein möglicher Kompromiss betrachtet werden.

3) Überprüfen Sie externe Datensätze und Netzwerkindikatoren. Da ein Root-Aktor Spuren löschen kann, überqueren Sie die SEG-Datensätze mit Firewalls, Proxys und Netzwerksensoren, um unerwartete ausgehende Verbindungen, Dateiübertragungen oder Fernzugriffe zu identifizieren, die vom SEG initiiert wurden.

(4) Bewahrung und Erholung, wenn es Beweise für die Ausbeutung gibt. Wenn Sie Beweise für Engagement finden, isolieren Sie das Netzwerkgerät, bewahren Sie eine forensische Kopie des externen Protokolls und planen Sie ein vollständiges Reimage von zuverlässigen Installationsmitteln oder Wiederherstellung von bekannten sauberen Backups. Vertrauen Sie nicht, nur Prozesse oder Dateien zu löschen: Root-Klettern erfordert in der Regel Rekonstruktion.

(5) Rotation der Anmeldeinformationen und Überprüfung der Integrität. Ändern Sie Schlüssel und Anmeldeinformationen, die mit dem betroffenen Gerät verbunden sind (API-Tasten, Verwaltungskennwörter, Zertifikate) und überprüfen Sie die Integrität der benachbarten Konten und Systeme, auf die nach einem Eindringen zugegriffen werden kann.

(6) Überwachung und kontinuierliche Erkennung. Fügen Sie Regeln zu SIEM / IDS hinzu, um betriebsbezogene Muster zu erkennen (Suche nach verdächtigen SQL-Ketten, Verkehr zu ungewöhnlichen PIs) und koordinieren Sie mit Ihrem Cisco-Lieferanten / tac, um Ergebnisse zu bestätigen und zusätzliche Minderung zu erhalten.

Für US-amerikanische Organisationen und Auftragnehmer ist zu beachten, dass die Aufnahme im KEV-Katalog eine gesetzliche Verpflichtung zur Minderung innerhalb der von der CISA angegebenen Fristen beinhaltet. Darüber hinaus, wenn Sie öffentliche Referenzen über den Ausfall benötigen, sehen Sie den Eintrag der CVE und der CISA-Seite oben erwähnt; für Patch-Details und abschließende Vermittlungsschritte, verwenden Sie Cisco offizielle Kommunikation und technische Unterstützung.

Schlussfolgerung: Dies ist eine hohe Schwere und aktive Betriebsstörung, die Geräte betrifft, die eingehende Post verarbeiten und die aufgrund ihrer Natur zu einem vollständigen System führen kann. Die einzige bekannte verlässliche Maßnahme ist die Anwendung der korrigierten Versionen; in der Zwischenzeit eine sofortige Suche auf den Logs, überwachen ausgehende Kommunikation und bereiten sich auf forensische und reimage Prozeduren vor, wenn ein Intrusionsnachweis erscheint.