Cisco: Kritische Lücke in Secure Email Gateway wird aktiv angegriffen

Betroffen sind ausschließlich Gateways, bei denen zwei Bedingungen zugleich erfüllt sind: Der File-Reputation-Dienst – Teil der Funktion Advanced Malware Protection (AMP), die Anhänge verarbeitet – muss aktiviert und einer Mail-Richtlinie zugewiesen sein, und die Content Scanner Tools müssen älter sein als Version 25.3.0.5525. Physische wie virtuelle Gateways auf verwundbaren AsyncOS-Versionen sind betroffen, nicht jedoch Secure Email and Web Manager und Secure Web Appliance. Die Appliance filtert die E-Mails einer Organisation auf Spam, Schadsoftware und andere Bedrohungen.

Die erste Bedingung lässt sich unter Mail Policies > Incoming Mail Policies > Advanced Malware Protection – oder demselben Pfad unter Outgoing Mail Policies – prüfen, indem man eine Mail-Richtlinie auswählt und das Feld “Enable File Reputation” kontrolliert. Für die zweite Bedingung zeigt der CLI-Befehl contentscannerstatus die Version und den Zeitpunkt der letzten Aktualisierung an.

Nach Angaben von Cisco stammt der Fund aus dem eigenen internen Sicherheits-Scanning; von den Angriffen erfuhr das Unternehmen im Oktober. Der Hinweis nennt weder die Zahl der angegriffenen Geräte noch die Urheber der Angriffe und sagt auch nicht, ob die Angreifer auf einem der Systeme tatsächlich Root-Rechte erlangten.

Kunden des verwalteten Dienstes Secure Email Cloud, deren Geräte “Indikatoren einer möglichen Kompromittierung” zeigten, hat Cisco kontaktiert; man sei mit Behebung und Wiederherstellung befasst. Administratoren dieser verwalteten Gateways haben möglicherweise keinen Kommandozeilenzugriff, um die Kompromittierungsprüfung durchzuführen. Den korrigierten Scanner hat Cisco dort bereits ausgerollt, sodass für den Fix kein Eingreifen nötig ist.

Korrekturen und Versionen

Der Fix wird seit dem 14. September in AsyncOS 15.5.5-014 und 16.5.0-780 ausgeliefert – jenen Builds, die Cisco an diesem Tag in einer Hardening-Release als korrigiert aufführte und die nach heutiger Darstellung des Unternehmens auch diese Lücke abdecken. Daneben steht ein Update der Content Scanner Tools auf Version 25.3.0.5525 oder neuer bereit, das sich ohne Software-Upgrade und ohne Neustart installieren lässt.

Erste korrigierte Releases:

• 15.5: 15.5.5-014
• 16.0: kein korrigierter Build – Wechsel auf eine korrigierte Version nötig
• 16.5: 16.5.0-780
• Content Scanner Tools (alle lizenzierten und unterstützten AsyncOS-Releases): 25.3.0.5525 oder neuer

Der schnellste Weg ist das Scanner-Update. Gateways mit aktivierten automatischen Content-Scanner-Tools-Updates benötigen keine weitere Aktion, sobald das Update eingespielt ist – mit contentscannerstatus sollte aber überprüft werden, dass die Version tatsächlich 25.3.0.5525 oder höher ist, statt dies anzunehmen. Sind automatische Updates abgeschaltet, hilft der CLI-Befehl contentscannerupdate oder das Einschalten unter Security Services > Service Updates.

Cisco empfiehlt, jedes Gateway älter als 16.5 auf 16.5.0-780 zu heben. Ein 16.0-Gateway auf dem Build 16.0.4-302, der die SQL-Injection-Lücke vom September behoben hat, ist gegen die neue Schwachstelle nicht geschützt. Welche Releases als lizenziert und unterstützt für das Scanner-Update gelten, führt der Sicherheitshinweis nicht auf; für ein Gateway, das auf 16.0 bleibt, ist die von contentscannerstatus angezeigte Scanner-Version die einzige Bestätigung, die der Hinweis bietet. Einen Workaround gibt es nicht.

Prüfung auf Kompromittierung

Ciscos Prüfung auf Ausnutzungsversuche besteht aus einem Befehl auf der Appliance: grep “System Security” system_logs. Er liefert eine von drei Meldungen:

• “System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.” – Kompromittierung erkannt, die Wiederherstellungsschritte sind zu befolgen.
• “System Security: Security scan did not complete. Contact TAC for further recommendations.” – Kontakt zum Technical Assistance Center (TAC) von Cisco aufnehmen.
• “System Security: No compromise indicator was found.” – diese Prüfung findet keine Kompromittierung; bei betroffenem Release ist dennoch zu aktualisieren.

Der Befehl ist auf jedem Mitglied eines Clusters auszuführen. Ein sauberes Ergebnis ist kein Beweis: Ein Angreifer mit Root-Rechten könnte Spuren entfernen oder verbergen. Cisco rät deshalb, zusätzlich Firewall- und Netzwerkprotokolle außerhalb des Geräts auf unerwartete Uploads zu externen IP-Adressen oder Downloads von bösartigen Adressen zu prüfen. Wonach der Scan sucht, teilt der Hinweis nicht mit.

Vorgehen bei kompromittierten Geräten

Bei physischen Appliances bittet Cisco um Kontakt zum TAC und darum, Fernzugriff zu aktivieren, damit die eigenen Techniker ermitteln können. Für virtuelle Appliances lauten die Schritte: zuerst forensische Daten sichern, da ein Upgrade einer kompromittierten Instanz Protokolle und Beweismittel zerstört; eine neue virtuelle Maschine auf einem korrigierten Release aufsetzen; die Konfiguration neu aufbauen, ohne eine frühere Konfigurationsdatei zu importieren; anschließend Zugangsdaten und kryptografisches Material auf der Appliance erneuern und das Verhalten weiter überwachen.

Cluster-Mitglieder authentifizieren sich untereinander mit SSH-Schlüsselpaaren. Da die privaten Schlüssel eines kompromittierten Mitglieds einem Angreifer Zugang zu den übrigen verschaffen könnten, empfiehlt Cisco, in einem Cluster mit mindestens einer kompromittierten Appliance jedes Mitglied wiederherzustellen. Kontaktierte Secure-Email-Cloud-Kunden sollen Zugangsdaten und kryptografisches Material erneuern, soweit möglich.

Zweite bestätigte Ausnutzung binnen eines Monats

Es ist die zweite Secure-Email-Gateway-Lücke, deren Ausnutzung Cisco innerhalb eines Monats bestätigt hat. Am 14. September machte das Unternehmen CVE-2026-76461 öffentlich, eine SQL-Injection-Schwachstelle im E-Mail-Parsing des Gateways, über die ein nicht authentifizierter Absender per präparierter E-Mail Befehle als Root ausführen konnte. Diese Lücke betrifft jede Konfiguration und wurde noch am selben Tag in den Katalog bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA aufgenommen. Die beiden Lücken liegen in unterschiedlichen Teilen der Software und erfordern unterschiedliche Protokollprüfungen; eine Verbindung zwischen den Angriffen hat Cisco nicht hergestellt.

Am selben Tag veröffentlichte Cisco eine Hardening-Release für das Gateway und für Secure Email and Web Manager, die intern gefundene Fehler nach Fehlerklassen in fünf Sammel-CVEs bündelte: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 und CVE-2026-76443 mit jeweils 9.8 sowie CVE-2026-76442 mit 7.5. Jeder Wert entspricht dem höchsten Wert innerhalb der jeweiligen Klasse; die Mitteilung enthielt die Builds 15.5.5-014 und 16.5.0-780.

Diesen Hinweis hat Cisco am Mittwoch aktualisiert; dort heißt es nun: “Zwei von ihnen werden bekanntermaßen aktiv ausgenutzt.” Gemeint sind die Schreibzugriffs-Lücke aus der Klasse Path Traversal und die SQL-Injection-Lücke aus der Klasse der unzureichenden Neutralisierung. Von Angriffen auf die übrigen Fehler der Release weiß Cisco nach eigenen Angaben nichts.

Nach einer im Juni vorgestellten Offenlegungsrichtlinie teilen sich in Hardening-Releases behobene Fehler gebündelte CVEs; eine eigene CVE erhält eine Lücke unter anderem dann, wenn ihre Ausnutzung bekannt wird. Die Schreibzugriffs-Lücke wurde im September innerhalb der Path-Traversal-Gruppe behoben und bekam am Mittwoch einen eigenen Sicherheitshinweis.

Es ist zugleich die dritte Root-Schwachstelle in diesen Appliances, deren Ausnutzung Cisco seit Dezember bestätigt hat. Damals nutzte eine mit China in Verbindung gebrachte Gruppe, die Cisco Talos als UAT-9686 führt, einen Zero-Day in der Spam-Quarantäne-Funktion: CVE-2025-20393, von Cisco im Januar gepatcht.