Cisco-E-Mail-Gateway-Lücke auf CISA-Liste überfällig

Eine kritische Schwachstelle in Ciscos Secure Email Gateway hat inzwischen die Frist überschritten, die US-Behörden für die Behebung gesetzt haben. CVE-2026-76461 ist eine SQL-Injection-Schwachstelle in der AsyncOS-Software, auf der das Gateway läuft; die US-Behörde CISA hat sie am 14. September 2026 in ihren KEV-Katalog bekannter ausgenutzter Schwachstellen aufgenommen – am selben Tag, an dem Cisco sie offengelegt hat –, weil Angreifer sie bereits ausnutzten, bevor die Sicherheitswarnung existierte. Die Frist für die Behebung durch Bundesbehörden war der 17. September; sie ist verstrichen.

Warum diese Schwachstelle ohne Anmeldung auskommt

Die Schwachstelle liegt darin, wie AsyncOS eingehende E-Mails parst. Ein entfernter Angreifer ohne Zugangsdaten kann sie schon dadurch auslösen, dass er eine speziell präparierte E-Mail durch ein verwundbares Gateway schickt – die normale Aufgabe des Geräts, E-Mails zu verarbeiten, ist die Angriffsfläche. Erfolgreiche Ausnutzung führt zu beliebiger SQL-Ausführung und von dort aus zu Befehlsausführung mit Root-Rechten auf dem darunterliegenden System. Betroffen sind physische und virtuelle Appliances gleichermaßen, ob lokal oder in der Cloud gehostet; Cisco hat bereits jedes Secure-Email-Cloud-Gerät auf einen korrigierten Build aktualisiert und separat Cloud-Kunden kontaktiert, deren Gateways Anzeichen bösartiger Aktivität zeigten. Secure Email and Web Manager und Secure Web Appliance sind nicht betroffen.

Patchpfad und Erkennung

Ciscos korrigierte Versionen sind AsyncOS 15.5.5-0141, 16.0.4-3021 und 16.5.0-780; Cisco empfiehlt dabei ausdrücklich die Linie 16.5.0-780 – der Build 16.0.4-3021 schließt diese Lücke, aber nicht vier weitere kritische Probleme, die in einer begleitenden Härtungsempfehlung beschrieben sind. Da ein kompromittiertes Gateway es einem Angreifer ermöglichen kann, seine eigenen Spuren zu beseitigen, sollten Verteidiger sich nicht allein auf die Protokolle des Geräts verlassen; die Korrelation mit externer Firewall- und Netzwerktelemetrie liefert ein zuverlässigeres Bild. Cisco und externe Forschende verweisen als Ausgangspunkt auf die E-Mail-Protokolle des Gateways und suchen dort nach SQL-Anweisungen, die bei der normalen Nachrichtenverarbeitung niemals auftauchen sollten.

Was jetzt zu tun ist

Jede Secure-Email-Gateway-Appliance, die noch auf einem ungepatchten AsyncOS-Build läuft, ist einer Kompromittierung ohne Anmeldung ausgesetzt, die durch eine einzige präparierte E-Mail ausgelöst wird – zwischen einem Angreifer und der Schwachstelle steht kein Login-Bildschirm. Es gilt, alle Gateways in verwalteten Umgebungen zu inventarisieren, 16.5.0-780 (oder den entsprechenden Fix für die jeweilige Linie) einzuspielen und die E-Mail-Protokolle auf Anzeichen einer früheren Ausnutzung zu prüfen, bevor die Appliance als sauber gilt.

Quellen: Rapid7, SecurityWeek, CISA.