Cisco warnt vor einer kritischen Lücke im Secure Email Gateway, die Angreifer bereits nutzen. Eine E-Mail mit präpariertem Anhang genügt für Befehle mit Root-Rechten. Patches gibt es für AsyncOS 15.5 und 16.5, zudem lässt sich der Fehler über die Content Scanner Tools beheben. Einen Workaround gibt es nicht.
Die Cisco-Lücke CVE-2026-76519 erreicht 9,8 von 10 Punkten und wird bereits aktiv angegriffen. Wer ein Secure Email Gateway betreibt, sollte heute prüfen, ob sein Gerät betroffen ist, und den Patch einspielen.
Die Netzwoche hat am 16. Oktober 2026 erstmals darüber berichtet und den Beitrag am selben Tag zuletzt aktualisiert.
Das Wichtigste in Kürze
- Aktiv ausgenutzte Lücke: Cisco bestätigt Angriffe auf CVE-2026-76519 im Secure Email Gateway. Die Schwachstelle lässt sich aus der Ferne und ohne Anmeldung nutzen.
- Eine Mail genügt: Ein präparierter Anhang reicht, damit Angreifer Befehle mit Root-Rechten ausführen.
- Patches liegen vor: AsyncOS 15.5.5-014 und 16.5.0-780 enthalten die Korrektur. Alternativ hilft ein Update der Content Scanner Tools auf 25.3.0.5525 oder höher.
- Kein Workaround: Cisco kennt keine Umgehung. Zudem gibt es Hinweise auf Kompromittierungen bei Secure Email Cloud.
Sicherheit im Secure Email Gateway: So läuft der Angriff ab
Cisco hat eine Sicherheitswarnung zum Secure Email Gateway veröffentlicht. Die Netzwoche hat darüber am 16. Oktober 2026 berichtet. Das ist der Zeitpunkt der ersten Veröffentlichung, die uns vorliegt. Eine spätere Aktualisierung ist nicht bekannt. Der letzte bekannte Stand der Meldung ist damit der 16. Oktober 2026. Das Datum der ursprünglichen Cisco-Warnung nennt die Quelle nicht. Die Details stehen in der Sicherheitswarnung von Cisco.
Dabei erreicht die Lücke auf der CVSS-Skala 9,8 von 10 Punkten. Angreifer können laut Cisco beliebige Dateien auf das Betriebssystem des Geräts schreiben. Daraus folgt die Ausführung von Befehlen mit Root-Rechten.
Die Ursache liegt in der Funktion Advanced Malware Protection (AMP). Sie verarbeitet Dateianhänge fehlerhaft, wenn der Dienst File Reputation aktiv ist. Ein Angreifer muss nur eine E-Mail mit präpariertem Anhang über ein anfälliges Gateway senden.
Zudem wurde das Cisco-Team PSIRT im Oktober auf die aktive Ausnutzung aufmerksam. Laut Bleepingcomputer ist es die zweite Zero-Day-Lücke im Secure Email Gateway innerhalb eines Monats.
Wer betroffen ist
Damit ein Gerät angreifbar ist, müssen mehrere Bedingungen zusammentreffen:
- Es handelt sich um ein physisches oder virtuelles Cisco Secure Email Gateway.
- Auf dem Gerät läuft eine anfällige AsyncOS-Version.
- File Reputation ist aktiviert und einer E-Mail-Richtlinie zugewiesen.
- Die Content Scanner Tools sind älter als Version 25.3.0.5525.
Prüfe jede Bedingung einzeln. Erst wenn alle vier zutreffen, ist das Gerät angreifbar.
Secure Email and Web Manager sind laut Cisco nicht betroffen. Das gilt auch für die Secure Web Appliance.
Daneben hat Cisco bei einzelnen Geräten der Secure Email Cloud Hinweise auf eine mögliche Kompromittierung entdeckt. Der Hersteller hat die betroffenen Kunden direkt kontaktiert. Zudem hat er Schutzmassnahmen auf der eigenen Infrastruktur umgesetzt. Die Bereinigung bei den Kunden dauert noch an.
Welche Updates helfen
So bietet Cisco zwei Wege zur Behebung. Die Tabelle fasst sie zusammen.
| Massnahme | Zielversion | Was das bedeutet |
|---|---|---|
| AsyncOS 15.5 | 15.5.5-014 | Enthält die Korrektur für Geräte im Zweig 15.5. |
| AsyncOS 16.5 | 16.5.0-780 | Empfohlen für alle Versionen vor 16.5. |
| Zweig 16.0 | Version mit Sicherheitsupdate | Ein Wechsel auf eine korrigierte Version ist nötig. |
| Content Scanner Tools | 25.3.0.5525 oder höher | Behebt die Lücke ohne AsyncOS-Upgrade und ohne Neustart. |
Dabei ist der Weg über die Content Scanner Tools die schnellste Lösung. Er braucht weder ein vollständiges Upgrade noch einen Neustart des Geräts. Das hilft in Umgebungen, in denen ein Wartungsfenster schwer zu bekommen ist.
Daher gilt: Einen Workaround gibt es laut Cisco nicht. Wer nicht aktualisiert, bleibt angreifbar.
Geräte auf Spuren prüfen
Deshalb reicht das Einspielen des Updates allein nicht. Cisco rät IT-Verantwortlichen, ihre Geräte auf Anzeichen einer Ausnutzung zu prüfen. Da die Angriffe schon im Oktober liefen, kann ein Gerät vor dem Patch kompromittiert worden sein.
Bei Verdacht auf eine Kompromittierung empfiehlt Cisco weitere Massnahmen zur Bereinigung. Die genauen Schritte stehen in der Sicherheitswarnung des Herstellers. Wer einen Verdacht hat, sollte diese Schritte vor der Rückkehr in den Normalbetrieb abarbeiten.
Einordnung: Was das für Admins in der Schweiz heisst
Admins, die ein Cisco Secure Email Gateway betreiben, müssen sofort handeln. Zuerst prüfen sie AsyncOS-Version, File Reputation und Version der Content Scanner Tools. Danach spielen sie AsyncOS 15.5.5-014 oder 16.5.0-780 ein. Alternativ aktualisieren sie die Content Scanner Tools auf 25.3.0.5525 oder höher. Eine Frist nennt die Quelle nicht, doch die Angriffe laufen bereits. Kosten nennt die Quelle nicht. Bei der Secure Email Cloud hat Cisco die Schutzmassnahmen selbst umgesetzt, betroffene Kunden hat es direkt kontaktiert.
Fazit
Du weisst jetzt, welche Geräte betroffen sind und welche Versionen die Lücke schliessen. Prüfe als Nächstes Deine Geräte und spiele das passende Update ein. Suche danach nach Spuren einer Ausnutzung und folge bei Verdacht den Bereinigungsschritten von Cisco.
Quellen: Netzwoche. Foto: StockSnap / Pixabay. Stand: 16. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.