Cisco CVE-2026-76519: kritische Sicherheitslücke in Secure Email Gateway ermöglicht Root-Ausführung

Cisco hat eine kritische Sicherheitslücke in seiner Secure Email Gateway-Anwendung gemeldet, die es einem nicht authentifizierten Absender ermöglicht, Dateien im Betriebssystem des Geräts zu schreiben und, wenn die Angriffskette die Operation verknüpft, Befehle mit Root-Privilegien auszuführen. Der Ausfall ist als CVE-2026-76519 mit einem CVSS-Score von 9.8 aufgelistet, und die Schlüsselkorrektur wurde im September im AsyncOS-Gebäude und als Aktualisierung des Content Scanner Tools-Pakets verteilt.

Konfirmierte Tatsachen: Cisco veröffentlichte eine Sicherheitsbekanntmachung über das Urteil, zugewiesen die oben erwähnte CVE und behauptet, dass die Verwundbarkeit während der internen Analyse gefunden wurde und dass sie begannen, Versuche zur Ausbeutung im Oktober zu beobachten. Die Korrektur ist in AsyncOS 15.5.5-014 und 16.5.0-780 und als Update der Content Scanner Tools Komponente (Version 25.3.0.5525 oder später) verfügbar. Cisco hat Kunden von seinem verwalteten Secure Email Cloud-Service kontaktiert, dessen Geräte "Indikatoren des möglichen Engagements" zeigten und dort den korrigierten Scanner eingesetzt haben. Die genauen technischen Details der internen Überprüfung von Cisco wurden nicht vollständig veröffentlicht.

Technisch gehört die Verwundbarkeit der Klasse Pfad-Traversal / Datei-Schreiben innerhalb des Subsystems, das Anhänge analysiert - speziell die Datei-Reputation Funktion, Teil von Advanced Malware Protection (AMP), die Anhänge verarbeitet -. Der von Cisco beschriebene Mechanismus ist das Senden einer E-Mail mit einem Anhang, der gebaut wurde, um die Gateway-Inhalte-Engine auszunutzen; wenn eine Datei in einem Systemort geschrieben wird und der nächste Schritt der Explosion es erlaubt, kann der Angreifer Befehlsausführung mit root-Privilegien erhalten. Wichtig: Die Operation erfordert zwei gleichzeitige Bedingungen: dass der File Reputation Service aktiviert und einer Postpolitik zugewiesen wird und dass die Content Scanner Tools Version vor 25.3.0.5525 liegt.

Wer betroffen ist und erreicht: Die physischen und virtuellen Anwendungen von Secure Email Gateway, die die beiden genannten Bedingungen erfüllen und die Versionen von AsyncOS ohne den korrigierten Aufbau ausführen, sind gefährdet. Secure Email und Web Manager und Secure Web Application sind nicht betroffen. Cisco hat nicht offenbart, wie viele Geräte angegriffen wurden, wenn die Angreifer root Privilegien in einem oder der Identität des Angreifers erreichten; diese Punkte bleiben unsicher. Auch keine öffentliche Liste aller Versionen von AyncOS, die als "lizenziert und unterstützt" eingestuft werden, wurde veröffentlicht, um nur das Scanner-Update zu erhalten.

Reale Folgen: Eine kompromittierte Root-Mail-Applikation ermöglicht es dem Angreifer, die eingehende / ausgehende Mail-Verarbeitung zu steuern, Quarantäne zu manipulieren, E-Mails zu löschen, Back-Türen einzufügen und private Applikationsschlüssel (z.B. SSH) zu verwenden, um seitlich in Cluster oder andere Administrationsmaschinen zu gelangen. Cisco weist darauf hin, dass in Clustering-Umgebungen die privaten Schlüssel eines engagierten Mitglieds den Zugang zu anderen Mitgliedern ermöglichen könnten, so dass die Sicherheit des Ganzen gefährdet ist, wenn es nicht handelt.

Überprüfungen und Sofortmaßnahmen, die vom Administrator durchzuführen sind (durch die Mitteilung bestätigt): 1) Überprüfen Sie, ob File Reputation in Ihren Richtlinien aktiv ist: auf der Web-Schnittstelle gehen zu Mail Policies > Zutreffende Mail-Policies > Advanced Malware Protection (oder die gleiche Route unter Outgoing) und überprüfen Sie die aktivieren Datei Reputation Box in jeder relevanten Politik. 2) Überprüfen Sie die Content Scanner Tools Version: im CLI des Application Run contentcannerstatus und bestätigen, dass die Version 25.3.0.5525 oder höher ist.

Ist die Version oben oder das Feld Datei-Reputation aktiviert, wenden Sie die Korrektur so schnell wie möglich an. Die bevorzugten Minderungswege sind: (a) Update der Content Scanner Tools(benötigt nicht Neustart oder Update aller AsyncOS): Wenn automatische Updates aktiviert sind, bestätigen Sie mit dem Inhaltcannerstatus, dass die neue Version installiert ist; nehmen Sie nicht an, dass das Update kam, bis es überprüft wird. Wenn automatische Updates deaktiviert sind, führen Sie den Inhaltscannerupdate auf dem CLI aus oder aktivieren Sie Updates über Security Services > Service-Updates. b) AsyncOS auf einen korrigierten Build aktualisieren wo möglich: Cisco list 15.5.5-014 und 16.5.0-780 als erste korrigierte Gebäude; für vorherige Versionen empfiehlt Cisco eine Migration auf 16.5.0-780. Für Gateways, die durch Richtlinien in der Zweigstelle 16.0 bleiben müssen, ist die einzige zuverlässige Überprüfung der Inhaltcannerstatus, um die Scanner-Version zu bestätigen.

Schritte zu folgen, wenn Sie das Engagement vermuten (Verfahren veröffentlicht von Cisco): für virtuelle Anwendungen zuerst alle forensischen Beweise erhalten; die kompromittierte Anwendungssoftware nicht aktualisieren weil ein Update nützliche Datensätze für die Analyse zerstört. Stattdessen stellen Sie eine neue virtuelle Maschine mit einer korrigierten Version ein, rekonstruieren Sie die Konfiguration unabhängig von früheren Konfigurationsdateien manuell und erneuern Sie alle Anmeldeinformationen und kryptografisches Material. In physikalischen Anwendungen bittet Cisco, sich an das Technische Assistenzzentrum (TAC) zu wenden und einen Fernzugriff für Ihre Forschung zu ermöglichen. Für Cluster, wenn mindestens ein engagiertes Mitglied, Cisco empfiehlt, alle Cluster-Mitglieder wiederherzustellen, um private Schlüssel zu entfernen, die beeinträchtigt werden können.

Cisco veröffentlichte Kontrollbefehl: grep "System Security" System _ logs. Diese interne Überprüfung gibt eine von drei Meldungen zurück, die einen Verdacht auf Engagement angeben, einen Hinweis, dass die Überprüfung nicht korrekt abgeschlossen ist, oder dass kein Indikator erkannt wurde. Cisco erklärt, dass ein sauberes Ergebnis keine Verpflichtung garantiert, denn ein Angreifer mit Wurzel könnte die Beweise löschen oder verfälschen; daher ist es auch notwendig, Firewall und Netzwerk-Aufzeichnungen für abnormale Transfers zu / von externen IP zu überprüfen.

Ergänzende praktische Empfehlungen (kurze und mittelfristige Verteidigungsmaßnahmen): 1) bestätigen Sie sofort die Scannerversion und die Datei Reputation Konfiguration. 2) Bewerben Sie das Update der Content Scanner Tools oder aktualisieren Sie AsyncOS entsprechend Ihrer Organisationsrichtlinie. 3) Wenn Sie verdächtige Aktivität erkennen, Protokolle bewahren, die Anwendung isolieren und fortfahren, wie von Cisco angezeigt. 4) Ändern Sie Anmeldeinformationen, verlängern Sie Zertifikate und Schlüssel und überprüfen Sie Cluster SSH Schlüssel. 5) Segmentieren Sie die Verwaltung des Gateways und beschränken Sie Netzwerkausgänge, die von der Anwendung nicht erforderlich sind, um die Exfiltrationsfähigkeit zu begrenzen.

Großer und früherer Kontext: Dies ist die zweite Schwachstelle von Secure Email Gateway, die Cisco bereits über einen Monat aktiv ausgenutzt hat; im September veröffentlichte es eine weitere kritische Schwachstelle Typ SQL Injektion (CVE-2026-76461), die auch die Ausführung als root erlaubt. Cisco hat mehrere interne Fehler in eine härtende Freisetzung gruppiert und unter seiner Offenlegungspolitik einzelne CVE zugeteilt, wenn ein Misserfolg bestätigt wird, in der Natur ausgenutzt zu werden. Für einen größeren Risikorahmen siehe die Liste der ausgenutzten Schwachstellen, die der US-Infrastruktur- und Cybersicherheitsagentur bekannt sind. Vereinigte Staaten: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities / current-list und die öffentliche Aufzeichnung CVE auf der NVD-Basis für technische und temporäre Details: https: / / nvd.nist.gov / vuln / detail / CVE-2026-76519. Sie können auch die Produktseite von Cisco Secure Email Gateway für Links zu Anzeigen und Update-Führungen überprüfen: https: / / www.cisco.com / c / en / uns / Produkte / Sicherheit / E-Mail-Sicherheit / index.html.

Informationen noch unsicher oder nicht offengelegt von Cisco: die Anzahl der verübten Geräte, wenn ein Angreifer tatsächlich Root-Privilegien in Produktionseinsätzen, die Identität oder Motivation des Schauspielers (s) und die genaue Form der forensischen Überprüfung, die Cisco verwendet. Angesichts dieser Ungewissheit ist die vorsichtige Antwort darauf, in jedem verletzlichen Gateway echte Risiken einzugehen und mit der Geschwindigkeit und Härte zu handeln, die Root-Level-Privilegien auf einem Perimeter-Gerät benötigen.

Wenn Sie Infrastruktur verwalten, die von Cisco Secure Email Gateway abhängt, behandeln Sie diese Note als eine hohe Prioritätsalarm: Überprüfen Sie die Konfiguration und die Versionen jetzt, wenden Sie die Korrektur und folgen Sie den forensischen Erhaltungs- und Wiederherstellungsanleitung, wenn es Anzeichen von Eindringen. Bei operativen Zweifeln oder Verpflichtungserklärungen wenden Sie sich an Ciscos TAC für technische Koordinierung.