CVE-2026-76519: Cisco Secure Email Gateway Path Traversal wird ausgenutzt - Update und Prüfung auf Kompromittierung

Cisco hat am 14. Oktober 2026 das Advisory cisco-sa-esa-afw-zqYJkjxp zu einer kritischen Lücke in der Funktion Advanced Malware Protection (AMP) von Cisco Secure Email Gateway veröffentlicht. Ist der Dienst File Reputation aktiviert, verarbeitet das Gateway E-Mail-Anhänge fehlerhaft: Ein Angreifer ohne Anmeldung kann über eine E-Mail mit präpariertem Anhang beliebige Dateien auf das darunterliegende Betriebssystem schreiben und Befehle mit Root-Rechten ausführen. Die Lücke trägt die Kennung CVE-2026-76519 und eine CVSS-Bewertung von 9.8. Cisco hat im Oktober 2026 von der aktiven Ausnutzung erfahren; die US-Behörde CISA hat die Lücke am 14. Oktober 2026 in ihren Katalog ausgenutzter Schwachstellen (KEV) aufgenommen. Behoben ist sie mit den Content Scanner Tools ab Version 25.3.0.5525 und in AsyncOS 15.5.5-014 und 16.5.0-780; einen Workaround gibt es laut Cisco nicht.

Das Wichtigste in Kürze

Betroffene Versionen und Updates

Ein Gerät ist laut Cisco nur verwundbar, wenn beide Bedingungen zutreffen: File Reputation ist aktiviert und einer Mail Policy zugewiesen, und die installierten Content Scanner Tools sind älter als 25.3.0.5525. Cisco verteilt die Korrektur über das Paket Content Scanner Tools an alle lizenzierten und unterstützten AsyncOS-Versionen; zusätzlich nennt Cisco korrigierte AsyncOS-Versionen.

Für Systeme mit einer AsyncOS-Version vor 16.5 empfiehlt Cisco die Migration auf 16.5.0-780. Dieselben AsyncOS-Versionen hat Cisco bereits am 14. September 2026 im Hardening-Advisory cisco-sa-hardening-esa-dfCrfXkm als korrigiert aufgeführt; dieses Advisory wurde am 14. Oktober 2026 um einen Verweis ergänzt, dass eine darin behandelte Path-Traversal-Lücke (CWE-23) aktiv ausgenutzt wird. Wer nach der Lücke CVE-2026-76461 im September bereits auf 15.5.5-014 oder 16.5.0-780 aktualisiert hat, ist damit auf einer laut Cisco korrigierten Version. Kunden von Cisco Secure Email Cloud Gateway müssen laut Advisory nichts tun, weil Cisco die korrigierten Content Scanner Tools dort bereits verteilt hat.

Die installierte AsyncOS-Version zeigt die CLI mit:

version

Die Version der Content Scanner Tools zeigt:

contentscannerstatus

Als Beispiel für eine verwundbare Ausgabe nennt Cisco Content Scanner Tools 25.2.0.5427.15.5.001 Never updated. Ob File Reputation aktiv ist, zeigt die Weboberfläche unter Mail Policies > Incoming Mail Policies bzw. Outgoing Mail Policies unter Advanced Malware Protection: Für jede Policy ist zu prüfen, ob Enable File Reputation aktiviert ist.

Was über die Ausnutzung bekannt ist

Cisco schreibt im Advisory, dass das Cisco PSIRT im Oktober 2026 von der aktiven Ausnutzung erfahren hat. Gefunden wurde die Lücke laut Advisory bei einem internen Sicherheitstest von Cisco. Kunden von Secure Email Cloud, auf deren Geräten Cisco mögliche Indikatoren einer Kompromittierung festgestellt hat, wurden direkt kontaktiert; Cisco gibt an, dort an Behebung und Wiederherstellung zu arbeiten.

Zum Angreifer, zur Zahl der betroffenen Organisationen und zum genauen Beginn der Angriffe machen weder Cisco noch CISA Angaben (Stand 15. Oktober 2026). Ob die Lücke in Ransomware-Kampagnen genutzt wird, führt CISA im KEV-Eintrag als unbekannt. CISA verlangt von US-Bundesbehörden bis 17. Oktober 2026 die Massnahmen des Herstellers, eine forensische Triage und eine Bewertung der Erreichbarkeit aus dem Internet; ist keine Abhilfe verfügbar, ist das Produkt ausser Betrieb zu nehmen.

Der Angriffsweg ist der normale Mailfluss: Die E-Mail mit dem präparierten Anhang muss nur durch das Gateway laufen. Eine Sperre der Verwaltungsoberfläche gegen das Internet verhindert die Ausnutzung deshalb nicht.

Sofortmassnahmen

1. Bestand erfassen: AsyncOS-Version mit version, Content-Scanner-Version mit contentscannerstatus und den Status von File Reputation in allen Mail Policies feststellen. Bei Clustern gilt das für jedes Mitglied.

2. Vor dem Update auf Kompromittierung prüfen (siehe nächster Abschnitt) und forensische Daten sichern. Cisco weist darauf hin, dass ein Upgrade einer kompromittierten virtuellen Instanz forensische Daten und Logs zerstört.

3. Content Scanner Tools aktualisieren: Die Korrektur ist ab Version 25.3.0.5525 enthalten, ein Neustart ist laut Cisco nicht nötig. Manuell löst die CLI die Aktualisierung aus mit:

   contentscannerupdate

   Automatische Aktualisierungen lassen sich in der Weboberfläche unter Security Services > Service Updates über Edit Update Settings aktivieren; die Änderung ist anschliessend mit Commit zu übernehmen. Danach mit contentscannerstatus die Version kontrollieren.

4. AsyncOS aktualisieren: auf 15.5.5-014 oder 16.5.0-780; Systeme auf 16.0 und älter laut Cisco auf 16.5.0-780 migrieren.

5. Exponierung reduzieren: Cisco nennt im Advisory allgemeine Härtungsmassnahmen, darunter den Zugriff aus dem Internet zu verhindern, Verwaltung und Mailverkehr auf getrennte Schnittstellen zu legen, nicht benötigte Dienste wie HTTP und FTP abzuschalten, starke Authentifizierung (SAML oder LDAP) zu verwenden, Standardpasswörter zu ändern und Logs an einen externen Server zu senden. Diese Massnahmen verkleinern die Angriffsfläche, schliessen die Lücke im Mailfluss aber nicht. Eine Deaktivierung von File Reputation nennt Cisco nicht als Workaround.

6. Advisory beobachten: Cisco ergänzt das Advisory bei neuen Erkenntnissen; die Revisionshistorie steht am Ende des Advisorys.

Prüfung auf Kompromittierung

Cisco empfiehlt, die Systemlogs auf dem Gerät mit folgendem Befehl zu prüfen:

grep "System Security" system_logs

Cisco ordnet die möglichen Meldungen so ein:

Ist das Gerät Teil eines Clusters, müssen laut Cisco die Logs jedes Clustermitglieds geprüft werden. Ein Ergebnis ohne Treffer ist kein Beleg für ein sauberes System: Ein Angreifer mit Root-Rechten kann Spuren auf dem Gerät entfernen oder verbergen. Cisco empfiehlt deshalb, Netzwerk- und Firewall-Logs ausserhalb des Geräts abzugleichen, insbesondere auf auffällige Uploads vom Gateway zu externen IP-Adressen und Downloads von externen IP-Adressen. Konkrete IP-Adressen, Dateinamen oder Hashwerte nennt Cisco im Advisory nicht.

Ein Update entfernt keine bereits eingerichteten Änderungen eines Angreifers. Für den Verdachtsfall empfiehlt Cisco je nach Bereitstellung:

1. Physische Appliances: das Cisco TAC kontaktieren und den Remote-Zugriff auf den betroffenen Geräten aktiviert lassen, damit die Untersuchung schneller erfolgen kann.

2. Virtuelle Appliances: zuerst forensische Informationen gemäss den eigenen Incident-Richtlinien sichern, eine neue virtuelle Maschine mit einer korrigierten Version bereitstellen, die Konfiguration neu aufbauen, ohne frühere Konfigurationsdateien zu importieren, Zugangsdaten und alle kryptografischen Materialien erneuern und das System weiter auf Auffälligkeiten überwachen.

3. Cluster: Die Clustermitglieder authentifizieren sich untereinander mit SSH-Schlüsselpaaren. Auf einer kompromittierten Appliance können die privaten Schlüssel ausgelesen werden, was den Zugriff auf weitere Clustermitglieder ermöglichen kann. Cisco empfiehlt, jedes Mitglied eines Clusters mit mindestens einer kompromittierten Appliance in eine sichere Konfiguration zurückzuversetzen.

4. Secure Email Cloud: Kontaktierte Kunden sollen laut Cisco Zugangsdaten und kryptografische Materialien erneuern.

Einordnung

Betroffen sind Organisationen, die Cisco Secure Email Gateway mit aktivierter File Reputation als Mail-Gateway vor ihrem Mailserver betreiben. Weil der Angriff über den eingehenden Mailfluss läuft, ist jede solche Installation angreifbar, die E-Mails von aussen annimmt und noch ältere Content Scanner Tools einsetzt. Das Gateway verarbeitet sämtliche Nachrichten einer Organisation und hält Zugangsdaten und Schlüsselmaterial; eine Befehlsausführung als root gibt einem Angreifer Zugriff auf beides. Laut BleepingComputer verzeichnet Shadowserver knapp 300 aus dem Internet erreichbare Instanzen von Cisco Secure Email Gateway.

CVE-2026-76519 ist innerhalb eines Monats die zweite ausgenutzte Lücke in Cisco Secure Email Gateway: Im September betraf CVE-2026-76461 die E-Mail-Verarbeitung von AsyncOS (CVE-2026-76461: Cisco Secure Email Gateway SQL-Injection). Laut BleepingComputer wurde zudem die AsyncOS-Lücke CVE-2025-20393 seit November 2025 ausgenutzt und im Januar gepatcht. Das kanadische Cyber Centre hat am 14. Oktober 2026 mit AV26-1042 zu CVE-2026-76519 gewarnt.