Cisco Secure Email Gateway: Zero-Day CVE-2026-76519 wird aktiv ausgenutzt

Cisco hat am 14. Oktober 2026 eine kritische Zero-Day-Schwachstelle im Secure Email Gateway offengelegt, die bereits aktiv ausgenutzt wird. Über CVE-2026-76519 (CVSS v3.1 9.8) kann ein Angreifer allein durch den Versand einer präparierten E-Mail beliebige Dateien auf dem System schreiben und Befehle mit Root-Rechten ausführen — ohne jede Anmeldung. Das BSI warnt seit dem 15. Oktober ausdrücklich vor dieser Lücke.

Was ist passiert?

Die Schwachstelle steckt in der Funktion „Advanced Malware Protection“ (AMP) des Cisco Secure Email Gateway, genauer im Dienst „File Reputation“, der Anhänge als Teil der E-Mail-Prüfung bewertet. Laut Cisco-Advisory handelt es sich um eine relative Pfad-Traversierung (CWE-23): Durch einen manipulierten Anhang lassen sich Dateien außerhalb des vorgesehenen Verzeichnisses ablegen.

Ein nicht authentifizierter Angreifer aus der Ferne muss dafür lediglich eine E-Mail mit entsprechendem Anhang durch ein verwundbares Gateway laufen lassen. Erfolgreiche Ausnutzung erlaubt das Schreiben beliebiger Dateien und die Ausführung von Befehlen mit Root-Rechten auf dem zugrunde liegenden Betriebssystem (AsyncOS) — faktisch die vollständige Übernahme des Systems. In Cluster-Verbünden warnt Cisco zusätzlich davor, dass dabei die für die Authentifizierung zwischen Cluster-Mitgliedern genutzten privaten SSH-Schlüssel offengelegt werden können, was den Angriff auf weitere Appliances ausweitet.

Cisco bestätigt eine aktive Ausnutzung in freier Wildbahn; betroffen sei laut Hersteller „eine begrenzte Zahl“ von Kunden. Die Einstufung mit CVSS 9.8 (kritisch) bestätigen unabhängig davon auch NVD und CERT-EU.

Wer ist betroffen?

Betroffen sind physische und virtuelle Deployments des Cisco Secure Email Gateway (früher „Email Security Appliance“, ESA), wenn beide folgenden Bedingungen erfüllt sind:

1. Der Dienst „File Reputation“ (Teil von AMP) ist aktiviert und einer Mail-Policy zugewiesen.
2. Die „Content Scanner Tools“ liegen in einer Version vor 25.3.0.5525 vor.

Praktisch relevant ist das vor allem für Unternehmen, die ihr E-Mail-Security-Gateway selbst betreiben, sowie für Dienstleister, die solche Gateways im Auftrag von Kunden managen. Kleinere Betriebe nutzen E-Mail-Filter oft als Teil eines Managed-Service — hier lohnt eine gezielte Rückfrage beim IT-Dienstleister, ob ein Cisco SEG im Einsatz ist und ob es bereits aktualisiert wurde.

Was jetzt zu tun ist

1. Betroffenheit feststellen: Prüfen, ob ein Cisco Secure Email Gateway im Einsatz ist, ob „File Reputation“/AMP aktiv und einer Mail-Policy zugewiesen ist und welche Version der „Content Scanner Tools“ läuft.
2. Content Scanner Tools aktualisieren: Auf 25.3.0.5525 oder neuer anheben. Dieses Update lässt sich laut Cisco auf lizenzierten, unterstützten AsyncOS-Releases ohne vollständiges Software-Upgrade und ohne Neustart der Appliance einspielen — das ist der schnellste Weg zur Entschärfung.
3. AsyncOS auf eine korrigierte Version bringen: Fixed Releases sind 15.5.5-014 (Zweig 15.5) und 16.5.0-780 (Zweig 16.5). Cisco empfiehlt Umgebungen vor 16.5 die Migration auf 16.5.0-780.
4. Auf Kompromittierung prüfen: Da eine erfolgreiche Ausnutzung Root-Zugriff ermöglicht, reicht das reine Einspielen des Updates nicht aus. Logs und Systemintegrität sollten auf Spuren eines Angriffs untersucht werden; in Cluster-Umgebungen sind die zwischen den Mitgliedern genutzten SSH-Schlüssel zu rotieren.
5. Dienstleister einbinden: Wird das Gateway extern betrieben, umgehend den Status von Patch und Prüfung bestätigen lassen.

So hilft Binary System Services

Wir prüfen für Sie, ob ein Cisco Secure Email Gateway oder vergleichbare Mail-Security-Komponenten in Ihrer Umgebung betroffen sind, spielen die Content-Scanner- und AsyncOS-Updates kontrolliert ein und analysieren im Verdachtsfall, ob die Appliance bereits kompromittiert wurde. Über unser Patch- und Monitoring-Konzept behalten wir solche kritischen Schwachstellen laufend im Blick, damit Fristen nicht an Ihnen vorbeilaufen. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.