CVE-2026-76461: Cisco Secure Email Gateway SQL-injeksjon utnyttes – oppdatering og kontroll for kompromittering

Cisco publiserte 14. september 2026 rådgivningen cisco-sa-esa-inj-2bLVGmhX om en kritisk sårbarhet i AsyncOS for Cisco Secure Email Gateway. En spesiallaget e-post som behandles av gatewayen, inneholder SQL-setninger som utføres på grunn av utilstrekkelig kontroll i behandlingslogikken; dette fører til kjøring av vilkårlige kommandoer med root-rettigheter på det underliggende operativsystemet. Ingen innlogging er nødvendig. Sårbarheten har identifikatoren CVE-2026-76461 og en CVSS-vurdering på 9.8. Cisco fikk kjennskap til aktiv utnyttelse i september 2026; den amerikanske myndigheten CISA la sårbarheten til i sin katalog over utnyttede sårbarheter (KEV) 14. september 2026. Oppdateringer er tilgjengelige, og ifølge Cisco finnes det ingen midlertidig løsning.

Det viktigste kort fortalt

Berørte versjoner og oppdateringer

Cisco anbefaler uttrykkelig å migrere systemer med en versjon før 16.5 til 16.5.0-780. For kunder av Cisco Secure Email Cloud har Cisco opplyst at alle enheter allerede er oppdatert til 16.5.0-780.

Den installerte versjonen vises i CLI med:

version

Hva som er kjent om utnyttelsen

Cisco skriver i rådgivningen at Cisco PSIRT fikk kjennskap til aktiv utnyttelse i september 2026. Sårbarheten ble funnet under behandling av en supportsak hos Cisco TAC. Kunder av Secure Email Cloud der Cisco har oppdaget ondsinnet aktivitet på enhetene, ble kontaktet direkte.

Verken Cisco eller CISA oppgir noe om angriperen, antallet berørte organisasjoner eller nøyaktig når angrepene startet (per 6. oktober 2026). Om sårbarheten brukes i ransomware-kampanjer, oppgir CISA som ukjent i KEV-oppføringen. Fristen på tre dager mellom opptak i KEV-katalogen og gjennomføring er kort; CISA krever uttrykkelig at amerikanske føderale myndigheter, i tillegg til produsentens tiltak, utfører en forensisk triage.

Angrepsveien er den vanlige e-postflyten: Den spesiallagede meldingen trenger bare å gå gjennom gatewayen. Å blokkere administrasjonsgrensesnittet fra Internett forhindrer derfor ikke utnyttelse.

Umiddelbare tiltak

1. Fastslå versjon med version i CLI og sammenlign med tabellen ovenfor. For klynger gjelder dette hvert medlem.

2. Kontroller for kompromittering før oppdateringen (se neste avsnitt) og sikre logger. Ved mistanke gjelder Ciscos anbefalinger om gjenoppbygging, ikke bare oppdatering.

3. Installer oppdateringen: Uten indikasjon på utnyttelse anbefaler Cisco oppdatering til en korrigert versjon, og for systemer før 16.5 migrering til 16.5.0-780.

4. Reduser eksponering: Cisco nevner generelle herdingstiltak i rådgivningen, blant annet å begrense tilgang fra Internett, legge e-post- og administrasjonsfunksjoner på separate grensesnitt, drifte enheten bak en brannmur, deaktivere HTTP for administrasjonsgrensesnittet og slå av tjenester som ikke er nødvendige. Disse tiltakene reduserer angrepsflaten, men lukker ikke sårbarheten i e-postflyten.

5. Følg med på rådgivningen: Cisco oppdaterer rådgivningen når det foreligger ny informasjon, sist 17. september 2026 med merknaden om klynger.

Kontroll for kompromittering

Cisco anbefaler å kontrollere e-postloggene (standardnavn mail_logs) for mistenkelige SQL-setninger, og oppgir følgende som et ikke-uttømmende eksempel:

grep -i "COPY.*TO PROGRAM" mail_logs

Hvis enheten er del av en klynge, må loggene fra hvert klyngemedlem kontrolleres ifølge Cisco. Et tomt søkeresultat er ikke bevis på et rent system: En angriper med root-rettigheter kan fjerne spor på enheten. Cisco anbefaler derfor å sammenligne nettverks- og brannmurlogger utenfor enheten, særlig med tanke på uventede opplastinger fra gatewayen til eksterne IP-adresser og nedlastinger fra ondsinnede IP-adresser. Cisco oppgir ingen konkrete IP-adresser, filnavn eller hashverdier i rådgivningen.

En oppdatering fjerner ikke endringer en angriper allerede har gjort. Ved mistanke anbefaler Cisco, avhengig av utrulling:

1. Virtuelle enheter: sikre forensisk informasjon i henhold til egne retningslinjer for hendelser, klargjøre en ny virtuell maskin med en korrigert versjon, bygge opp konfigurasjonen på nytt, fornye tilgangsdata og alt kryptografisk materiale som er installert på enheten, og fortsette å overvåke systemet for avvik. Hvis gjenoppretting ikke er mulig, anbefaler Cisco å kontakte Cisco TAC.

2. Fysiske enheter: kontakt Cisco TAC ved mistanke.

3. Klynger: Klyngemedlemmene autentiserer seg mot hverandre med SSH-nøkkelpar. På en kompromittert enhet kan de private nøklene leses ut, noe som kan muliggjøre tilgang til flere klyngemedlemmer. Cisco anbefaler å tilbakestille hvert medlem av en klynge med minst én kompromittert enhet til en sikker konfigurasjon.

4. Secure Email Cloud: Kontaktede kunder skal fornye tilgangsdata og kryptografisk materiale.

Vurdering

Berørt er organisasjoner som drifter Cisco Secure Email Gateway som e-postgateway foran e-postserveren sin, uavhengig av konfigurasjon. Fordi angrepet skjer via innkommende e-postflyt og Cisco vurderer alle konfigurasjoner som berørt, er enhver installasjon som mottar e-post utenfra, angrepsbar. Gatewayen behandler alle en organisasjons meldinger og lagrer tilgangsdata og nøkkelmateriale; kommandokjøring som root gir en angriper tilgang til begge deler.

AsyncOS har også vært et mål tidligere: Ifølge BleepingComputer har AsyncOS-sårbarheten CVE-2025-20393 blitt utnyttet siden november 2025 og ble rettet i januar. I Europa har blant annet det tyske BSI (cybersikkerhetsvarsel fra 14. september 2026) og CERT-FR (varsel fra 15. september 2026) advart om CVE-2026-76461.