Angreifer nutzen Root-Lücke in Cisco Secure Email Gateway aus

Derzeit attackieren Angreifer Cisco-Secure-Email-Gateway-Instanzen. Admins sollten umgehend reagieren und die verfügbaren Sicherheitspatches installieren. Die US-Cybersicherheitsbehörde CISA hat die Lücke am Mittwoch in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt.

Defekter Malwareschutz

Aus einer Warnmeldung geht hervor, dass die ausgenutzte Sicherheitslücke (CVE-2026-76519) als „kritisch“ eingestuft ist. Die Schwachstelle steckt in der Sicherheitsfunktion Advanced Malware Protection (AMP). AMP soll Dateianhänge eigentlich auf Bedrohungen scannen.

Schicken entfernte Angreifer ohne Authentifizierung Mails mit präpariertem Anhang an verwundbare Instanzen, kommt es aufgrund der Schwachstelle zu Fehlern bei der Verarbeitung und Angreifer können beliebige Dateien schreiben und eigene Befehle ausführen. Klappt ein solcher Angriff, verfügen sie am Ende über Root-Rechte auf Systemebene. In so einer Position erlangen Angreifer in der Regel die volle Kontrolle über Instanzen.

Angriff mit Hürden

Cisco zufolge sind physische und virtuelle Instanzen von Secure Email Gateway betroffen, wenn folgende Voraussetzungen erfüllt sind: Der File-Reputation-Service muss aktiv und einer Mail-Policy zugewiesen sein und zusätzlich muss eine Content-Scanner-Tools-Version vor 25.3.0.5525 installiert sein. Nur wenn das gegeben ist, sind Attacken möglich.

In der Warnmeldung beschreiben die Entwickler, wie man die installierte Content-Scanner-Tools-Version prüfen kann und woran Admins bereits attackierte Instanzen erkennen können. Um Systeme vor Attacken zu schützen, müssen Admins die Version 15.5.5-014 oder 16.5.0-780 installieren. Für den Versionsstrang 16.0 gibt es kein Sicherheitsupdate und Admins müssen eine der genannten Versionen installieren.

Alternativ schließt ein Update der Content Scanner Tools auf Version 25.3.0.5525 oder neuer die Lücke. Das klappt laut Cisco für alle unterstützten AsyncOS-Versionen ohne Upgrade und ohne Neustart. Weitere Empfehlungen zur Absicherung listet Cisco in der Warnmeldung auf.