Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-76461CriticalCVSS: 9.8

Kritische RCE-Lücke in Cisco Secure Email Gateway (CVE-2026-76461)

Eine kritische SQL-Injection-Schwachstelle im E-Mail-Parsing von Cisco AsyncOS für Secure Email Gateway ermöglicht unauthentifizierten Angreifern aus der Ferne die Ausführung beliebiger Befehle mit Root-Rechten. Cisco hat bereits Software-Updates bereitgestellt und bestätigt aktive Ausnutzung seit September 2026.

METADATEN

Entdeckt:
14.09.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Cisco Cisco Secure Email 13.5.1-277
  • •Cisco Cisco Secure Email 13.0.5-007
  • •Cisco Cisco Secure Email 15.0.1-030
  • •Cisco Cisco Secure Email 15.5.0-048
  • •Cisco Cisco Secure Email 14.0.0-698
  • •Cisco Cisco Secure Email 13.0.0-392
  • •Cisco Cisco Secure Email 15.0.3-002
  • •Cisco Cisco Secure Email 16.0.3-044
  • •Cisco Cisco Secure Email 15.5.1-055
  • •Cisco Cisco Secure Email 13.5.4-038
  • •Cisco Cisco Secure Email 15.5.4-012
  • •Cisco Cisco Secure Email 16.0.0-050
  • •Cisco Cisco Secure Email 14.2.1-020
  • •Cisco Cisco Secure Email 15.5.3-022
  • •Cisco Cisco Secure Email 15.0.0-104
  • •Cisco Cisco Secure Email 15.5.2-018
  • •Cisco Cisco Secure Email 16.0.4-016
  • •Cisco Cisco Secure Email 14.2.0-620
  • •Cisco Cisco Secure Email 14.3.0-032
  • •Cisco Cisco Secure Email 15.0.5-016
  • •Cisco Cisco Secure Email 16.0.2-112
  • •Cisco Cisco Secure Email 16.0.0-054
  • •Cisco Cisco Secure Email 16.0.1-017

Zusammenfassung

In Cisco AsyncOS für Cisco Secure Email Gateway existiert eine kritische Schwachstelle (CVE-2026-76461, CVSS 9.8) im E-Mail-Parsing. Ein nicht authentifizierter, externer Angreifer kann durch das Senden einer präparierten E-Mail mit bösartigen SQL-Anweisungen beliebige SQL-Befehle ausführen und dadurch vollständige Kontrolle mit Root-Rechten über das zugrunde liegende Betriebssystem erlangen. Cisco hat Software-Updates veröffentlicht und bestätigt aktive Ausnutzung seit September 2026. Es gibt keine Workarounds – ein sofortiges Update ist dringend erforderlich.

Technische Details

Die Schwachstelle (CWE-89, SQL Injection) beruht auf unzureichender Validierung in der E-Mail-Parsing-Logik von Cisco AsyncOS Software für Cisco Secure Email Gateway. Ein Angreifer sendet eine speziell präparierte E-Mail-Nachricht über das betroffene Gerät, die bösartige SQL-Anweisungen enthält. Bei erfolgreicher Ausnutzung werden beliebige SQL-Anweisungen ausgeführt, was zu Befehlsausführung mit Root-Privilegien auf dem Betriebssystem führt. Der Angriff erfordert keine Authentifizierung und kann aus der Ferne erfolgen. Der CVSS-Score beträgt 9.8 (Critical). Zur Erkennung von Ausnutzungsversuchen sollten die mail_logs auf verdächtige SQL-Anweisungen geprüft werden, zum Beispiel mit grep nach “COPY.*TO PROGRAM”. Bei erfolgreicher Kompromittierung können Angreifer aufgrund ihrer Root-Rechte Spuren in den Logs löschen, daher sollten zusätzlich Netzwerk- und Firewall-Logs außerhalb des Geräts geprüft werden.

Betroffene Systeme

Betroffen ist Cisco Secure Email Gateway (physisch und virtuell), unabhängig von der Gerätekonfiguration, unter anderem:

  • Cisco Secure Email 13.5.1-277
  • Cisco Secure Email 13.0.5-007
  • Cisco Secure Email 15.0.1-030
  • Cisco Secure Email 15.5.0-048
  • Cisco Secure Email 14.0.0-698
  • Cisco Secure Email 13.0.0-392
  • Cisco Secure Email 15.0.3-002
  • Cisco Secure Email 16.0.3-044
  • Cisco Secure Email 15.5.1-055
  • Cisco Secure Email 13.5.4-038
  • Cisco Secure Email 15.5.4-012
  • Cisco Secure Email 16.0.0-050
  • Cisco Secure Email 14.2.1-020
  • Cisco Secure Email 15.5.3-022
  • Cisco Secure Email 15.0.0-104
  • Cisco Secure Email 15.5.2-018
  • Cisco Secure Email 16.0.4-016
  • Cisco Secure Email 14.2.0-620
  • Cisco Secure Email 14.3.0-032
  • Cisco Secure Email 15.0.5-016
  • Cisco Secure Email 16.0.2-112
  • Cisco Secure Email 16.0.0-054
  • Cisco Secure Email 16.0.1-017

Nicht betroffen sind Secure Email and Web Manager und Secure Web Appliance. Behobene Versionen sind 15.5.5-014, 16.0.4-302 und 16.5.0-780 (empfohlen).

Empfehlungen und Maßnahmen

Es gibt keine Workarounds. Cisco empfiehlt dringend das sofortige Update auf eine behobene Version: für Release 15.5 und früher auf 15.5.5-014, für 16.0 auf 16.0.4-302, für 16.5 auf 16.5.0-780 (bevorzugt Migration auf 16.5.0-780). Das Update kann über die Weboberfläche unter System Administration > System Upgrade oder per CLI mit dem Befehl upgrade erfolgen. Bei Verdacht auf Kompromittierung bei physischen Geräten den Cisco TAC kontaktieren und Fernzugriff aktivieren. Bei virtuellen Geräten nach Sicherung forensischer Daten eine neue VM mit behobener Version aufsetzen, Konfiguration neu erstellen sowie Zugangsdaten und kryptografisches Material erneuern. Zusätzlich mail_logs und externe Netzwerk- und Firewall-Logs auf verdächtige Aktivitäten prüfen, Management-Zugriff einschränken, unnötige Dienste deaktivieren und Logging auf einen externen Server auslagern.

Quellen

REFERENZEN