Cisco e-postgateway-bugg försenad på CISA:s lista över utnyttjade sårbarheter

CVE-2026-76461, en kritisk SQL-injektion i Cisco Secure Email Gateway, missade sin deadline hos CISA den 17 september. Ett enda skräddarsytt e-postmeddelande kan ge en angripare root-åtkomst, utan inloggning.

I den här artikeln

Varför den här inte kräver någon inloggning
Uppdateringsväg och detektion
Vad du bör göra nu

En kritisk brist i Ciscos Secure Email Gateway har nu passerat den deadline som amerikanska myndigheter satt för att åtgärda den. CVE-2026-76461 är en SQL-injektionssårbarhet i AsyncOS-programvaran som driver gatewayen, och den amerikanska cybersäkerhetsmyndigheten Cybersecurity and Infrastructure Security Agency lade till den i sin katalog över kända utnyttjade sårbarheter den 14 september 2026 — samma dag som Cisco offentliggjorde den — eftersom angripare redan utnyttjade den innan rådgivningen fanns. Den federala åtgärdsdeadlinen var den 17 september; den har passerat.

Framsidan av ett Cisco-bladservershassi i ett rack, med rader av ventilerade blad och gröna statuslampor — Foto: Raysonho @ Open Grid Scheduler / Grid Engine (CC BY-SA 3.0), Wikimedia Commons.

Varför den här inte kräver någon inloggning

Sårbarheten ligger i hur AsyncOS tolkar inkommande e-post. En fjärrangripare utan autentiseringsuppgifter kan utlösa den genom att helt enkelt skicka ett specialutformat e-postmeddelande genom en sårbar gateway — apparatens normala uppgift att behandla e-post är själva attackytan. Ett framgångsrikt utnyttjande leder till godtycklig SQL-körning och därifrån kommandokörning med root-behörighet på det underliggande systemet. Det påverkar både fysiska och virtuella apparater, såväl lokala som molnbaserade; Cisco har redan uppgraderat alla Secure Email Cloud-enheter till en åtgärdad version och separat kontaktat molnkunder vars gatewayer visade tecken på skadlig aktivitet. Secure Email and Web Manager och Secure Web Appliance påverkas inte.

Uppdateringsväg och detektion

Ciscos åtgärdade versioner är AsyncOS 15.5.5-0141, 16.0.4-3021 och 16.5.0-780, där Cisco specifikt rekommenderar 16.5.0-780-linjen — version 16.0.4-3021 stänger denna bugg men inte fyra andra kritiska problem som tas upp i ett kompletterande härdningsmeddelande. Eftersom en komprometterad gateway kan låta en angripare radera sina egna spår bör försvarare inte enbart förlita sig på loggar på enheten; korrelation med extern brandväggs- och nätverkstelemetri ger en mer tillförlitlig bild. Cisco och externa forskare pekar på gatewayens e-postloggar som en utgångspunkt och letar efter SQL-satser som aldrig borde förekomma vid normal meddelandebehandling.

Vad du bör göra nu

Varje Secure Email Gateway-apparat som fortfarande kör en opatchad AsyncOS-version är exponerad för oautentiserad kompromettering som utlöses av ett enda specialutformat e-postmeddelande — det finns ingen inloggningsskärm mellan angriparen och bristen. Inventera varje gateway i alla förvaltade miljöer, tillämpa 16.5.0-780 (eller motsvarande åtgärd för en given versionslinje) och granska e-postloggar efter tecken på tidigare utnyttjande innan apparaten betraktas som ren.

Källor: Rapid7, SecurityWeek, CISA.