Cisco Secure Email Gateway wird aktiv angegriffen

Cisco bestätigt aktive Angriffe auf eine Schwachstelle in Secure Email Gateway. Angreifer können über präparierte Mail-Anhänge ohne Anmeldung Befehle mit Root-Rechten ausführen. Korrigierte Software steht bereit. Für IT-Leitungen geht es jetzt um Tempo beim Update und um die Frage, ob Spurensicherung und neue Zugangsdaten nötig sind.

VerwandtCloud-Kapazität wird knapp, CIOs müssen jetzt planen  /  Microsoft: Deutschland ist EU-Spitze bei Cyberangriffen

Angriff über den Mailanhang

Im Oktober 2026 erfuhr das Product Security Incident Response Team von Cisco, kurz PSIRT, von aktiver Ausnutzung der Schwachstelle CVE-2026-76519. Betroffen ist Secure Email Gateway, das System, das eingehende Mails samt Anhängen prüft, bevor sie die Postfächer erreichen. Eine Anmeldung am Gerät ist für den Angriff nicht nötig. Über präparierte Mail-Anhänge können Angreifer beliebige Dateien schreiben und Befehle mit Root-Rechten ausführen, also mit den höchsten Rechten auf dem System.

Die Lücke sitzt damit in der Komponente, deren Aufgabe die Prüfung von Anhängen ist. Nach Angaben des Canadian Centre for Cyber Security nahm die CISA die Schwachstelle am 14. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf, die Known Exploited Vulnerabilities. Nach Angaben von NHS England liegt der technische Schweregrad bei 9,8 nach CVSS v3.1, einer Skala für die technische Schwere von Sicherheitslücken.

Was ist ein Secure Email Gateway? Ein Secure Email Gateway ist ein Sicherheitssystem, das E-Mails prüft, bevor sie die Postfächer eines Unternehmens erreichen. Es untersucht dabei unter anderem Anhänge und kann sie über Funktionen wie die Dateireputation bewerten. Cisco betreibt das Gateway als physisches oder virtuelles Gerät beim Kunden sowie als Secure Email Cloud Gateway.

Welche Gateways betroffen sind

Cisco nennt drei Bedingungen. Betroffen sind physische und virtuelle Gateways mit einer verwundbaren Version des Betriebssystems AsyncOS. Zusätzlich muss die Dateireputation aktiviert und einer Mail-Richtlinie zugewiesen sein. Diese Funktion, im Produkt „File Reputation“ genannt, bewertet Anhänge anhand von Erkenntnissen über bekannte Dateien. Dritte Bedingung sind Content Scanner Tools in einer Version vor 25.3.0.5525.

Für die IT-Leitung folgt daraus zuerst eine Bestandsaufnahme. Gebraucht wird für jedes Gateway der Stand von AsyncOS, die Zuordnung der Dateireputation zu Mail-Richtlinien und die Version der Content Scanner Tools. Die Korrektur steckt in den Content Scanner Tools ab Version 25.3.0.5525.

Cloud und Eigenbetrieb im Vergleich

Im Secure Email Cloud Gateway hat Cisco die korrigierten Content Scanner Tools bereits bereitgestellt. Für Cloud-Kunden, die Cisco kontaktiert hat, bleibt trotzdem eine Aufgabe. Sie sollen Zugangsdaten und kryptografisches Material nach Möglichkeit erneuern. Gemeint sind etwa Passwörter, Schlüssel und Zertifikate, mit denen sich Systeme gegenüber anderen ausweisen.

Bei physischen und virtuellen Gateways liegt das Update beim Betreiber. Das kann die eigene IT sein oder ein Managed-Service-Partner. Bei ausgelagertem Betrieb gehört in das Gespräch mit dem Dienstleister, auf welchen Geräten die korrigierte Version bereits läuft und ob Hinweise auf eine Kompromittierung geprüft werden. Die Verantwortung für die Entscheidung über Wiederherstellung und Zugangsdaten bleibt in jedem Fall eine Führungsfrage.

Spurensicherung vor dem Neuaufbau

Für virtuelle Appliances, bei denen eine Kompromittierung vermutet wird, beschreibt Cisco eine feste Reihenfolge. Zuerst sollen Betreiber Forensikdaten sichern, also die Spuren, die Aufschluss über das Vorgehen der Angreifer geben können. Danach setzen sie eine VM mit korrigierter Software neu auf. Anschließend erneuern sie die Zugangsdaten.

Die Freigabe für den Neuaufbau setzt nach dieser Reihenfolge eine abgeschlossene Sicherung der Forensikdaten voraus. In Krisenstäben verlangt das eine klare Übergabe zwischen Betrieb und Sicherheitsteam. Die Erneuerung von Zugangsdaten taucht in Ciscos Empfehlungen zweimal auf, bei vermutlich kompromittierten virtuellen Appliances ebenso wie bei kontaktierten Cloud-Kunden.

Priorität im Patch-Kalender

Nach Einschätzung des National CSOC von NHS England ist weitere Ausnutzung wahrscheinlich. Die Empfehlung an betroffene Organisationen lautet, das relevante Update schnellstmöglich anzuwenden. Für die Priorisierung liegen damit drei Signale vor: die von Cisco bestätigte Ausnutzung, die Aufnahme in den Katalog der CISA und die Erwartung weiterer Angriffe.

Häufig gestellte Fragen

Mehr aus dem MBF Media Netzwerk

Bildquelle: KI-generiert (Oktober 2026)