Cisco e-mailgateway-lek staat te laat op CISA's exploited-lijst

Een kritiek lek in Cisco's Secure Email Gateway heeft inmiddels de deadline overschreden die de Amerikaanse autoriteiten hadden gesteld voor reparatie. CVE-2026-76461 is een SQL-injectiekwetsbaarheid in de AsyncOS-software die de gateway draait, en de Amerikaanse Cybersecurity and Infrastructure Security Agency voegde deze op 14 september 2026 toe aan haar Known Exploited Vulnerabilities-catalogus — dezelfde dag waarop Cisco het lek openbaarde — omdat aanvallers het al misbruikten voordat het advies bestond. De federale hersteldeadline was 17 september; die is verstreken.

Waarom dit lek geen login vereist

De kwetsbaarheid zit in hoe AsyncOS inkomende e-mail parseert. Een externe aanvaller zonder inloggegevens kan het activeren door simpelweg een speciaal vervaardigde e-mail door een kwetsbare gateway te sturen — de normale taak van het apparaat, het verwerken van mail, is het aanvalsoppervlak. Succesvolle exploitatie leidt tot willekeurige SQL-uitvoering en vandaaruit tot uitvoering van opdrachten met rootrechten op het onderliggende systeem. Het treft zowel fysieke als virtuele apparaten, on-premises en cloudgehost. Cisco heeft alle Secure Email Cloud-apparaten al bijgewerkt naar een gepatchte build en afzonderlijk contact opgenomen met cloudklanten van wie de gateways tekenen van kwaadaardige activiteit vertoonden. Secure Email and Web Manager en Secure Web Appliance worden niet getroffen.

Patchpad en detectie

Cisco's gepatchte releases zijn AsyncOS 15.5.5-0141, 16.0.4-3021 en 16.5.0-780, waarbij Cisco specifiek de 16.5.0-780-lijn aanbeveelt — de 16.0.4-3021-build dicht dit lek, maar niet vier andere kritieke problemen die in een begeleidend verhardingsadvies worden behandeld. Omdat een gecompromitteerde gateway een aanvaller in staat kan stellen zijn eigen sporen te wissen, moeten verdedigers niet uitsluitend vertrouwen op logs op het apparaat zelf; correlatie met externe firewall- en netwerktelemetrie geeft een betrouwbaarder beeld. Cisco en externe onderzoekers wijzen op de maillogs van de gateway als startpunt, op zoek naar SQL-statements die nooit in normale berichtverwerking mogen voorkomen.

Wat nu te doen

Elk Secure Email Gateway-apparaat dat nog op een ongepatchte AsyncOS-build draait, is blootgesteld aan ongeauthenticeerde compromittering door één speciaal vervaardigde e-mail — er staat geen inlogscherm tussen een aanvaller en het lek. Inventariseer elke gateway in beheerde omgevingen, installeer 16.5.0-780 (of de equivalente fix voor een bepaalde train) en beoordeel maillogs op tekenen van eerdere exploitatie voordat het apparaat als schoon wordt beschouwd.

Bronnen: Rapid7, SecurityWeek, CISA.