Cisco Secure Email Gateway-zeroday CVE-2026-76519 gedicht

Cisco heeft updates uitgebracht voor een kwetsbaarheid in Secure Email Gateway (SEG) die aanvallers al actief misbruiken. Via het lek kunnen aanvallers op afstand opdrachten uitvoeren met rootrechten, zonder dat ze zich hoeven te authenticeren.

Het lek staat bekend als CVE-2026-76519. Het is de nieuwste in een reeks misbruikte kwetsbaarheden in de e-mailbeveiligingsapparaten van het bedrijf.

Een kwaadaardige bijlage is genoeg

Het gaat om een relative path traversal-kwetsbaarheid in de functie Advanced Malware Protection (AMP) van SEG. Het probleem zit in de manier waarop het apparaat e-mailbijlagen verwerkt. Een aanvaller hoeft alleen een e-mail met een speciaal geprepareerde bijlage via een ongepatcht apparaat te sturen. Inloggen of op een andere manier met het apparaat communiceren is niet nodig.

"Bij succesvol misbruik kan de aanvaller willekeurige bestanden wegschrijven en opdrachten met rootrechten uitvoeren op het onderliggende besturingssysteem", aldus Cisco in zijn beveiligingsadvies, dat woensdag verscheen.

Het bedrijf bevestigde ook dat het lek bij echte aanvallen is gebruikt. "In oktober 2026 werd het Cisco PSIRT zich bewust van actief misbruik van deze kwetsbaarheid", staat in het advies. PSIRT is het Product Security Incident Response Team van Cisco, dat meldingen van kwetsbaarheden en beveiligingsadviezen afhandelt.

Cisco gaf geen details over de aanvallen, zoals wie erachter zit of welke organisaties het doelwit waren. Wel publiceerde het bedrijf een reeks indicators of compromise (IOC's) waarmee verdedigers kunnen zoeken naar sporen van een inbraak.

Welke apparaten kwetsbaar zijn

Niet elk SEG-apparaat loopt risico. Een apparaat is alleen kwetsbaar als aan twee voorwaarden wordt voldaan:

• de File Reputation-dienst staat aan en is gekoppeld aan een mail policy
• de versie van Content Scanner Tools is ouder dan 25.3.0.5525

Beheerders kunnen de geinstalleerde versie van Content Scanner Tools controleren met het CLI-commando contentscannerstatus. Of File Reputation aanstaat, zien ze aan het selectievakje "Enable File Reputation" in de webgebaseerde beheeromgeving. Dat is te vinden onder Mail Policies > Incoming Mail Policies > Advanced Malware Protection, of onder Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.

Aanvallers wissen mogelijk hun sporen

Cisco waarschuwt dat het ontbreken van duidelijke sporen op een apparaat niet bewijst dat het schoon is. Zodra aanvallers opdrachten op rootniveau kunnen uitvoeren, kunnen ze sporen van het misbruik verwijderen.

Daarom raadt het bedrijf klanten aan ook firewall- en netwerklogs na te lopen. Beheerders moeten letten op verdachte activiteit, waaronder downloads en uploads van en naar externe of verdachte IP-adressen.

Volgens Cisco zijn er al mitigerende maatregelen doorgevoerd op cloudinstanties. Ook heeft het bedrijf contact opgenomen met eigenaren van Cisco Secure Email Cloud-apparaten waarop het aanwijzingen vond voor een mogelijke compromittering.

"Cisco raadt klanten met wie contact is opgenomen dringend aan om een apparaat waar mogelijk terug te brengen naar een veilige configuratie door inloggegevens en alle cryptografische materialen die op het apparaat zijn geinstalleerd te vernieuwen. Daarnaast raadt Cisco dringend aan de toegang tot het apparaat te beperken en robuuste mechanismen voor toegangscontrole in te voeren", aldus het bedrijf.

Volgens Shadowserver, een organisatie voor internetbeveiliging die scant op blootgestelde systemen, zijn bijna 300 Cisco Secure Email Gateway-instanties online bereikbaar. De organisatie vermeldt niet hoeveel daarvan honeypots zijn of al zijn beveiligd.

Niet de eerste SEG-zeroday

Dit is lang niet het eerste ernstige probleem met de e-mailbeveiligingsproducten van Cisco.

In juli 2024 dichtte Cisco een kritiek SEG-lek, CVE-2024-20401. Aanvallers konden daarmee nieuwe gebruikers met rootrechten toevoegen of apparaten permanent laten crashen, eveneens door e-mails met kwaadaardige bijlagen te sturen.

In januari patchte het bedrijf CVE-2025-20393, een lek in Cisco AsyncOS met de hoogst mogelijke ernstscore. Aanvallers misbruikten het sinds november 2025 bij zeroday-aanvallen op SEG- en Secure Email and Web Manager (SEWM)-apparaten.

Vorige maand riep Cisco klanten op om nog een misbruikte SEG-zeroday te patchen, CVE-2026-76461. Dat lek zit in de verwerking van e-mails in Cisco AsyncOS Software. Net als het nieuwe lek stelt het niet-geauthenticeerde aanvallers op afstand in staat willekeurige opdrachten met rootrechten uit te voeren op het onderliggende besturingssysteem.

Ook in bredere zin is de lijst lang. Sinds november 2021 heeft het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) 100 kwetsbaarheden van Cisco toegevoegd aan zijn catalogus van actief misbruikte lekken. Zeven daarvan zijn gebruikt bij ransomware-aanvallen.

Cisco heeft drukke weken achter de rug. Eerder deze maand dichtte het bedrijf ook lekken in NX-OS waarmee aanvallers Nexus-switches kunnen overnemen.

Onze analyse

Het zorgwekkendste is hoe weinig een aanvaller hoeft te doen. E-mailgateways zijn er om mail van iedereen op internet te ontvangen, dus het aanvalsoppervlak is niet zomaar af te sluiten. Het blokkeren van een enkele geprepareerde bijlage is genoeg voor de aanvaller, en het lek zit in een functie voor malwarebescherming die het apparaat juist veiliger moet maken. Dat doet vermoeden dat organisaties die File Reputation hebben ingeschakeld om hun verdediging te versterken, hun blootstelling ongemerkt hebben vergroot.

Ook het patroon is van belang. Dit is de tweede misbruikte SEG-zeroday in ongeveer een maand, en de derde ernstige dit jaar als je de AsyncOS-fix van januari meetelt. Aanvallers zien deze apparaten duidelijk als lonende doelwitten. Dat past in een bredere trend waarbij aanvallers zich richten op edge- en perimeterapparaten. Recente voorbeelden zijn de keten van zerodays in Ivanti Connect Secure en het misbruikte lek in SonicWall SMA1000. Zulke systemen worden vaak vertrouwd, slecht gemonitord en zijn van binnenuit lastig te onderzoeken.

De waarschuwing van Cisco dat aanvallers bewijs kunnen wissen, moet serieus worden genomen. Het installeren van de update draait een compromittering die al heeft plaatsgevonden niet terug. Teams die getroffen apparaten beheren, moeten het nalopen van logs en het vernieuwen van inloggegevens zien als onderdeel van het patchen, niet als optionele extra's.

Het is de moeite waard om in de gaten te houden of CISA CVE-2026-76519 toevoegt aan zijn catalogus van misbruikte kwetsbaarheden. Mogelijk delen onderzoekers of Cisco ook meer over wie achter de aanvallen zit. Omdat zeven eerdere Cisco-lekken in ransomwarecampagnes terechtkwamen, moeten verdedigers er niet van uitgaan dat dit lek beperkt blijft tot gerichte inbraken.