Der Netzwerkausrüster Cisco warnt vor der aktiven Ausnutzung einer kritischen Schwachstelle in seiner Sicherheitslösung Secure Email Gateway (SEG). Über das Einfallstor können nicht authentifizierte Angreifer ohne vorherigen Login Dateien auf den betroffenen Systemen ablegen. Voraussetzung für einen erfolgreichen Angriff ist, dass der Dienst zur Dateireputation aktiviert ist und veraltete Scanner-Werkzeuge auf den Geräten laufen.
Pfadüberwindung in Malware-Schutzkomponente
Die aktiv ausgenutzte Zero-Day-Schwachstelle wird unter der Kennung CVE-2026-76519 geführt. Der Fehler liegt in der Komponente Advanced Malware Protection (AMP) und beruht auf einem sogenannten Relative Path Traversal. Ursache hierfür ist eine fehlerhafte Verarbeitung von E-Mail-Anhängen.
Durch den Versand einer elektronischen Nachricht mit einem speziell präparierten Anhang gelingt es Angreifern, beliebige Dateien auf ungepatchte Zielgeräte zu schreiben. In der Folge lassen sich Befehle mit uneingeschränkten Root-Rechten auf dem System ausführen.
Nach Angaben von Cisco sind Installationen des Secure Email Gateway betroffen, bei denen der File-Reputation-Dienst aktiviert und einer entsprechenden Mail-Policy zugewiesen ist, während gleichzeitig Content Scanner Tools mit einer Version älter als 25.3.0.5525 zum Einsatz kommen.
Administratoren können den Versionsstand über die Kommandozeile mit dem Befehl contentscannerstatus überprüfen. Alternativ ist eine Kontrolle über die Weboberfläche in den Bereichen für eingehende und ausgehende Richtlinien unter den AMP-Einstellungen möglich.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch manipulierte E-Mails – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitslücken schließen, bevor es zu spät ist. Gratis-E-Book: Cyber Security Bedrohungen abwenden
Das Sicherheitsteam Cisco PSIRT stellte die aktive Ausnutzung der Sicherheitslücke im Oktober 2026 fest. Das Unternehmen stellt im zugehörigen Sicherheitshinweis entsprechende Kompromittierungsindikatoren (IOCs) zur Verfügung, um verdächtige Aktivitäten nachvollziehen zu können.
Zweite kritische Lücke und Hardening-Updates
Neben CVE-2026-76519 hat Cisco auch die Schwachstelle CVE-2026-76461 geschlossen, die nach Herstellerangaben ebenfalls bereits aktiv ausgenutzt wurde. Diese kritische Schwachstelle betrifft das E-Mail-Parsing innerhalb des Betriebssystems Cisco AsyncOS.
Die Ursache liegt in einer unzureichenden Validierung verarbeiteter Inhalte. Ein unauthentifizierter Remote-Angreifer kann über eine eigens manipulierte Nachricht mit integrierten SQL-Anweisungen beliebige Datenbankabfragen initiieren und dadurch ebenfalls Befehle mit Root-Rechten auf dem Betriebssystem ausführen.
Zusätzlich veröffentlichte der Hersteller ein umfassendes Hardening-Update für das Secure Email Gateway sowie den Secure Email and Web Manager. Dieses Paket behebt sechs Schwachstellen, von denen der Hersteller fünf als kritisch einstuft.
Besonders perfide sind Angriffe wie der CEO-Fraud, bei denen psychologische Tricks gezielt eingesetzt werden, um Sicherheitsbarrieren zu umgehen. Ein kostenloser Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt Unternehmen in 4 Schritten den Weg zur erfolgreichen Hacker-Abwehr. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Dringender Handlungsbedarf für Administratoren
Die Organisation Shadowserver verfolgt derzeit knapp 300 öffentlich über das Internet erreichbare SEG-Instanzen. Umgehungslösungen oder temporäre Workarounds existieren für die genannten Schwachstellen nicht.
Cisco sowie die italienische Cybersicherheitsbehörde ACN-CSIRT Italia raten daher zur unverzüglichen Installation der bereitgestellten Sicherheitsupdates. Zudem sollten Administratoren betroffene Systeme umgehend auf anomale E-Mails, unerwartete Befehlsausführungen sowie weitere Spuren einer möglichen Kompromittierung überprüfen.