Cisco Secure Email Gateway: Zero-Day CVE-2026-76519 behoben

Cisco hat Updates für eine Schwachstelle im Secure Email Gateway (SEG) veröffentlicht, die Angreifer bereits ausnutzen. Über die Lücke können Angreifer aus der Ferne und ganz ohne Authentifizierung Befehle mit Root-Rechten ausführen.

Die Schwachstelle wird als CVE-2026-76519 geführt. Sie ist die jüngste in einer Reihe ausgenutzter Lücken in den E-Mail-Sicherheitsgeräten des Unternehmens.

Ein präparierter Anhang genügt

Bei der Schwachstelle handelt es sich um eine Relative-Path-Traversal-Lücke in der Funktion Advanced Malware Protection (AMP) von SEG. Ursache ist die Art, wie das Gerät E-Mail-Anhänge verarbeitet. Um die Lücke auszunutzen, muss ein Angreifer lediglich eine E-Mail mit einem speziell präparierten Anhang über ein ungepatchtes Gerät schicken. Er muss sich weder anmelden noch auf andere Weise mit dem Gerät interagieren.

"Ein erfolgreicher Exploit könnte es dem Angreifer ermöglichen, beliebige Dateien zu schreiben und Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem auszuführen", schreibt Cisco in seinem am Mittwoch veröffentlichten Sicherheitshinweis.

Das Unternehmen bestätigte zudem, dass die Lücke bereits bei echten Angriffen zum Einsatz kam. "Im Oktober 2026 wurde dem Cisco PSIRT die aktive Ausnutzung dieser Schwachstelle bekannt", heißt es in dem Hinweis. PSIRT steht für Ciscos Product Security Incident Response Team, das Meldungen zu Schwachstellen und Sicherheitshinweise bearbeitet.

Details zu den Angriffen nannte Cisco nicht, etwa wer dahintersteckt oder welche Organisationen ins Visier genommen wurden. Das Unternehmen veröffentlichte aber eine Reihe von Indicators of Compromise (IOCs), mit denen Verteidiger nach Spuren eines Einbruchs suchen können.

Welche Geräte betroffen sind

Nicht jedes SEG-Gerät ist angreifbar. Verwundbar ist ein Gerät nur, wenn zwei Bedingungen erfüllt sind:

• der Dienst File Reputation ist aktiviert und einer Mail-Richtlinie zugewiesen
• die Version der Content Scanner Tools ist älter als 25.3.0.5525

Administratoren können die installierte Version der Content Scanner Tools mit dem CLI-Befehl contentscannerstatus prüfen. Ob File Reputation eingeschaltet ist, zeigt das Kontrollkästchen "Enable File Reputation" in der webbasierten Verwaltungsoberfläche. Es findet sich unter Mail Policies > Incoming Mail Policies > Advanced Malware Protection oder unter Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.

Angreifer verwischen möglicherweise ihre Spuren

Cisco warnte, dass das Fehlen offensichtlicher Hinweise auf einem Gerät nicht beweist, dass es sauber ist. Haben Angreifer erst einmal Befehle mit Root-Rechten ausgeführt, können sie die Spuren der Ausnutzung löschen.

Deshalb rät das Unternehmen Kunden, auch Firewall- und Netzwerkprotokolle zu prüfen. Admins sollten nach verdächtigen Aktivitäten suchen, darunter Downloads und Uploads von und zu externen oder verdächtigen IP-Adressen.

Nach eigenen Angaben hat Cisco auf Cloud-Instanzen bereits Gegenmaßnahmen umgesetzt. Außerdem hat das Unternehmen Besitzer von Cisco-Secure-Email-Cloud-Geräten kontaktiert, bei denen es Hinweise auf eine mögliche Kompromittierung gefunden hat.

"Cisco empfiehlt Kunden, die kontaktiert wurden, dringend, ein Gerät nach Möglichkeit in eine sichere Konfiguration zurückzuversetzen, indem sie Zugangsdaten und sämtliches auf dem Gerät installierte kryptografische Material erneuern. Darüber hinaus empfiehlt Cisco dringend, den Zugriff auf das Gerät einzuschränken und robuste Zugriffskontrollmechanismen umzusetzen", so das Unternehmen.

Laut Shadowserver, einer Organisation für Internetsicherheit, die nach öffentlich erreichbaren Systemen sucht, sind knapp 300 Instanzen von Cisco Secure Email Gateway online erreichbar. Wie viele davon Honeypots sind oder bereits abgesichert wurden, gibt die Organisation nicht an.

Nicht die erste SEG-Zero-Day

Es ist bei Weitem nicht das erste ernste Problem mit Ciscos E-Mail-Sicherheitsprodukten.

Im Juli 2024 schloss Cisco die kritische SEG-Lücke CVE-2024-20401. Angreifer konnten darüber neue Benutzer mit Root-Rechten anlegen oder Geräte dauerhaft zum Absturz bringen, ebenfalls durch E-Mails mit bösartigen Anhängen.

Im Januar patchte das Unternehmen CVE-2025-20393, eine Lücke in Cisco AsyncOS mit maximalem Schweregrad. Angreifer hatten sie seit November 2025 in Zero-Day-Angriffen auf SEG- und Secure-Email-and-Web-Manager-Geräte (SEWM) ausgenutzt.

Im vergangenen Monat forderte Cisco Kunden auf, eine weitere ausgenutzte SEG-Zero-Day zu patchen, CVE-2026-76461. Dieser Fehler steckt in der E-Mail-Verarbeitung der Software Cisco AsyncOS. Wie die neue Lücke erlaubt er es nicht authentifizierten Angreifern aus der Ferne, beliebige Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem auszuführen.

Auch insgesamt ist die Liste lang. Seit November 2021 hat die US-Behörde für Cyber- und Infrastruktursicherheit CISA 100 Cisco-Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Sieben davon wurden bei Ransomware-Angriffen missbraucht.

Cisco hat ereignisreiche Wochen hinter sich. Anfang dieses Monats behob das Unternehmen auch Lücken in NX-OS, über die Angreifer Nexus-Switches übernehmen konnten.

Unsere Einschätzung

Am beunruhigendsten ist, wie wenig ein Angreifer tun muss. E-Mail-Gateways sind dafür da, Mails von jedem im Internet anzunehmen, die Angriffsfläche lässt sich also nicht einfach schließen. Für den Angreifer genügt es, einen einzigen präparierten Anhang zu blockieren, und der Fehler steckt ausgerechnet in einer Malware-Schutzfunktion, die das Gerät sicherer machen soll. Das deutet darauf hin, dass Organisationen, die File Reputation zur Stärkung ihrer Abwehr aktiviert haben, ihre Angriffsfläche womöglich unwissentlich vergrößert haben.

Auch das Muster ist wichtig. Es ist die zweite ausgenutzte SEG-Zero-Day binnen etwa eines Monats und die dritte schwerwiegende in diesem Jahr, wenn man den AsyncOS-Fix vom Januar mitzählt. Angreifer halten diese Geräte offensichtlich für lohnende Ziele. Das passt zu einem breiteren Trend, bei dem Bedrohungsakteure sich auf Geräte am Netzwerkrand konzentrieren. Jüngste Beispiele sind die Zero-Day-Kette in Ivanti Connect Secure und die ausgenutzte Lücke in SonicWall SMA1000. Solchen Systemen wird oft vertraut, sie werden schlecht überwacht und lassen sich von innen nur schwer untersuchen.

Ciscos Warnung, dass Angreifer Beweise löschen könnten, sollte man ernst nehmen. Das Update macht eine bereits erfolgte Kompromittierung nicht rückgängig. Teams, die betroffene Geräte betreiben, sollten die Prüfung der Protokolle und den Austausch von Zugangsdaten als Teil des Patchens betrachten und nicht als optionale Zugabe.

Es lohnt sich zu beobachten, ob die CISA CVE-2026-76519 in ihren Katalog ausgenutzter Schwachstellen aufnimmt. Möglicherweise geben Forscher oder Cisco auch mehr darüber preis, wer hinter den Angriffen steckt. Da sieben frühere Cisco-Lücken in Ransomware-Kampagnen gelandet sind, sollten Verteidiger nicht davon ausgehen, dass diese hier auf gezielte Einbrüche beschränkt bleibt.