Aanvallers misbruiken een kritieke kwetsbaarheid in Cisco Secure Email Gateway waardoor een afzender zonder inloggegevens bestanden kan schrijven naar het besturingssysteem van het apparaat, meldde Cisco in een advisory op woensdag.
De aanvaller stuurt een e-mail met een speciaal samengestelde bijlage via de gateway en kan, als dat lukt, vervolgens commando’s uitvoeren als root. Het apparaat filtert de e-mail van een organisatie op spam, malware en andere bedreigingen; alleen een gateway met de File Reputation-service ingeschakeld en met een Content Scanner Tools-pakket ouder dan versie 25.3.0.5525 is kwetsbaar.
De oplossing wordt sinds 14 september meegeleverd in AsyncOS 15.5.5-014 en 16.5.0-780 — de builds die Cisco die dag in een hardening-release als opgelost vermeldde en waarvan het bedrijf nu aangeeft dat ze deze kwetsbaarheid dekken. Daarnaast is er een Content Scanner Tools-update beschikbaar, versie 25.3.0.5525 of later, die wordt geïnstalleerd zonder software-upgrade of herstart.
Cisco ontdekte de kwetsbaarheid, geregistreerd als CVE-2026-76519 (CVSS-score: 9.8), via eigen interne securityscans en werd in oktober op de hoogte gebracht van daadwerkelijke aanvallen. De advisory vermeldt niet hoeveel apparaten zijn aangevallen, wie achter de aanvallen zit, of de aanvallers op enige apparaten root-toegang hebben verkregen.
Cisco heeft klanten van zijn beheerde Secure Email Cloud-service gecontacteerd waarvan apparaten “indicatoren van mogelijke compromittering” vertoonden en zegt betrokken te zijn bij herstelwerkzaamheden. Beheerders van die beheerde gateways hebben mogelijk niet de commandoregeltoegang die nodig is om de hieronder beschreven compromitteringscontrole uit te voeren; Cisco heeft de gefixeerde scanner al daar uitgerold, dus zij hoeven geen actie te ondernemen om de oplossing te ontvangen.
Wie is blootgesteld
Beide voorwaarden moeten gelden. De File Reputation-service, onderdeel van de Advanced Malware Protection (AMP)-functie die bijlagen afhandelt, moet ingeschakeld zijn en toegewezen zijn aan een mailpolicy, en de Content Scanner Tools-versie moet ouder zijn dan 25.3.0.5525.
Fysieke en virtuele gateways met kwetsbare AsyncOS-releases zijn getroffen. Secure Email and Web Manager en Secure Web Appliance zijn dat niet.
Om de eerste voorwaarde te controleren: open Mail Policies > Incoming Mail Policies > Advanced Malware Protection, of hetzelfde pad onder Outgoing Mail Policies, kies een mailpolicy en kijk naar het vakje Enable File Reputation. Om de tweede te controleren, voer contentscannerstatus uit op de CLI; dat toont de versie en wanneer deze voor het laatst is bijgewerkt.
Hoe dit te verhelpen
De snelste route is de scanner-update. Gateways met automatische Content Scanner Tools-updates ingeschakeld hoeven niets te doen zodra de update is toegepast; controleer wel met contentscannerstatus dat de versie 25.3.0.5525 of later is in plaats van aan te nemen dat de update al is aangekomen.
Waar automatische updates uitstaan, voer contentscannerupdate uit op de CLI, of schakel automatische updates in via Security Services > Service Updates.
De volledige AsyncOS-fix zit in deze eerste gefixte releases:
- 15.5: 15.5.5-014
- 16.0: geen gefixeerde build. Migreer naar een gefixeerde release.
- 16.5: 16.5.0-780
- Content Scanner Tools (alle gelicentieerde en ondersteunde AsyncOS-releases): 25.3.0.5525 of later
Cisco raadt aan dat elke gateway ouder dan 16.5 migreert naar 16.5.0-780. Een 16.0-gateway op 16.0.4-302, de build die de SQL-injectiekwetsbaarheid van september verholpen heeft, is niet gefixt voor deze kwetsbaarheid, en de advisory vermeldt niet welke releases als gelicentieerd en ondersteund tellen voor de scanner-update. Voor een 16.0-gateway die op 16.0 blijft, is de door contentscannerstatus getoonde scanner-versie de enige bevestiging die de advisory biedt.
Er is geen workaround. Voor een virtuele appliance die tekenen van compromittering vertoont, adviseert Cisco een rebuild met nieuwe referenties, en het waarschuwt dat het upgraden van een gecompromitteerde instantie forensische gegevens en logs vernietigt.
Hoe te controleren op compromittering
De controle van Cisco op mislukte of geslaagde exploitpogingen is één commando op het apparaat: grep "System Security" system_logs. Het retourneert één van drie berichten:
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.Compromittering gedetecteerd. Volg dan de herstelstappen hieronder.System Security: Security scan did not complete. Contact TAC for further recommendations.Neem contact op met Cisco’s Technical Assistance Center (TAC).System Security: No compromise indicator was found.Geen compromitteringsindicatoren gevonden door deze controle. Upgrade het apparaat als het op een getroffen release draait.
Voer deze controle uit op elk lid van een cluster. Een schoon resultaat is geen sluitend bewijs: een aanvaller met root kan bewijsmateriaal verwijderen of verbergen, controleer daarom ook firewall- en netwerklogs buiten het apparaat op onverwachte uploads naar externe IP-adressen of downloads van kwaadaardige IP’s. De advisory beschrijft niet precies waar de scan naar kijkt.
Als een apparaat gecompromitteerd is
Voor een fysieke appliance vraagt Cisco klanten contact op te nemen met TAC en remote access in te schakelen zodat zijn engineers kunnen onderzoeken. Voor een virtuele appliance zijn de stappen:
- Preserveer eerst forensische data. Het upgraden van een gecompromitteerde instantie vernietigt logs en bewijsmateriaal.
- Rol een nieuwe virtuele machine uit met een gefixeerde release.
- Bouw de configuratie opnieuw op zonder enig eerder configuratiebestand te importeren.
- Vernieuw de referenties en cryptografische materialen op het apparaat en blijf daarna monitoren op ongewone activiteiten.
Clustermembers authenticeren elkaar met SSH-sleutelpaaren. De private sleutels van een gecompromitteerd lid kunnen een aanvaller toegang tot de andere leden geven, dus Cisco raadt aan elk lid van een cluster te herstellen als er ten minste één gecompromitteerd apparaat is. Secure Email Cloud-klanten die Cisco heeft gecontacteerd, wordt gevraagd waar mogelijk referenties en cryptografisch materiaal te vernieuwen.
De release van september
Dit is de tweede Secure Email Gateway-kwetsbaarheid die Cisco in een maand bevestigt als actief aangevallen. Op 14 september maakte het bedrijf CVE-2026-76461 bekend, een SQL-injectiekwetsbaarheid in de e-mailparser van de gateway die een niet-geauthenticeerde afzender via een vervaardigde e-mail commando’s als root kon laten uitvoeren.
Die kwetsbaarheid treft elke configuratie en werd op dezelfde dag aan het Known Exploited Vulnerabilities-catalogus van CISA toegevoegd. De twee kwetsbaarheden zitten in verschillende delen van de software en hebben verschillende logcontroles, en Cisco heeft de aanvallen niet aan elkaar gekoppeld.
Diezelfde dag publiceerde Cisco een hardening-release voor de gateway en voor Secure Email and Web Manager waarin intern gevonden bugs per zwakteklasse in vijf overkoepelende CVE’s werden gegroepeerd: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 en CVE-2026-76443, elk met score 9.8, en CVE-2026-76442 met 7.5. Elke score is de hoogste van de bugs in die klasse, en de advisory vermeldde de builds 15.5.5-014 en 16.5.0-780.
Cisco heeft die advisory woensdag bijgewerkt en vermeldt nu: “Two of them are known to be actively exploited”: de file-write-kwetsbaarheid, die valt onder path traversal, en de SQL-injectiekwetsbaarheid van september, die valt onder improper neutralization. Het is niet op de hoogte van aanvallen op de andere bugs in de release.
Onder een disclosurebeleid dat Cisco in juni heeft opgesteld, delen bugs die in hardening-releases worden gefixt gegroepeerde CVE’s, en een kwetsbaarheid krijgt een eigen CVE wanneer, onder andere redenen, bekend is dat deze actief wordt misbruikt. De file-write-kwetsbaarheid werd in september in de path traversal-groep verholpen en kreeg woensdag zijn eigen advisory.
Het is ook de derde root-niveau kwetsbaarheid in deze appliances waarvan Cisco sinds december heeft bevestigd dat die is misbruikt. In december gebruikte een aan China gelinkte groep die Cisco Talos volgt als UAT-9686 een zero-day in de spam-quarantainemodule, CVE-2025-20393, die Cisco in januari patched heeft.
