Was ist passiert?
Cisco hat am 14. September 2026 eine kritische Sicherheitslücke im Cisco Secure Email Gateway veröffentlicht. Einen Tag später griff CERT.at die Warnung für österreichische Unternehmen und Organisationen auf. Die Schwachstelle trägt die Kennung CVE-2026-76461 und wurde mit einem CVSS-Wert von 9,8 von 10 Punkten bewertet.
Das Secure Email Gateway ist eine Sicherheitslösung, die eingehende und ausgehende E-Mails analysiert und unter anderem Spam sowie schädliche Nachrichten erkennen soll. Genau bei dieser Verarbeitung liegt die Schwachstelle.
Nach Angaben von Cisco kann ein nicht angemeldeter Angreifer eine speziell präparierte E-Mail mit schädlichen SQL-Anweisungen durch ein verwundbares Gateway schicken. Bei erfolgreicher Ausnutzung können daraus Befehle auf dem zugrunde liegenden Betriebssystem ausgeführt werden – mit sogenannten Root-Rechten, also den höchsten verfügbaren Systemberechtigungen. Eine Benutzerinteraktion ist für den Angriff nicht erforderlich.
Besonders wichtig für die Einordnung: Cisco bestätigt ausdrücklich, dass im September 2026 bereits eine aktive Ausnutzung der Schwachstelle beobachtet wurde. Es handelt sich damit nicht lediglich um ein theoretisches Angriffsszenario.
Wer ist betroffen?
Betroffen sind sowohl physische als auch virtuelle Installationen des Cisco Secure Email Gateway mit verwundbaren Versionen von AsyncOS. Laut Hersteller gilt die Schwachstelle unabhängig von der jeweiligen Gerätekonfiguration.
Als korrigierte Versionen nennt Cisco:
- für Version 15.5 und älter: 15.5.5-014
- für Version 16.0: 16.0.4-302
- für Version 16.5: 16.5.0-780
Cisco empfiehlt nach Möglichkeit den Umstieg auf Version 16.5.0-780. Secure Email and Web Manager sowie Secure Web Appliance sind von dieser konkreten Schwachstelle laut Hersteller nicht betroffen.
Für Kunden des Cisco Secure Email Cloud Service hat Cisco die betroffenen Systeme nach eigenen Angaben bereits auf die korrigierte Version aktualisiert.
Warum ist das für Unternehmen und Infrastrukturbetreiber relevant?
E-Mail-Gateways befinden sich häufig an einer besonders sensiblen Stelle der IT-Infrastruktur. Sie verarbeiten Nachrichten aus dem Internet, bevor diese interne Mailserver und Benutzerkonten erreichen.
Eine erfolgreiche Kompromittierung eines solchen Systems ist deshalb besonders kritisch: Das Gerät soll eigentlich Angriffe abwehren, befindet sich gleichzeitig aber direkt an einer wichtigen Schnittstelle zwischen externen und internen Netzen.
Für Unternehmen, Gemeinden und Betreiber von Energie- oder Digitalinfrastruktur ist daraus eine allgemeine Lehre ableitbar: Sicherheitsprodukte müssen selbst genauso konsequent aktualisiert und überwacht werden wie Server, Arbeitsplatzrechner oder Netzwerkgeräte.
Cisco weist zudem darauf hin, dass Angreifer nach erfolgreicher Ausnutzung mit Root-Rechten Spuren auf dem betroffenen Gerät verändern oder entfernen könnten. Deshalb empfiehlt der Hersteller, neben den lokalen Protokollen auch externe Firewall- und Netzwerkprotokolle auf verdächtige Aktivitäten zu prüfen.
Was sollte man daraus ableiten?
Für betroffene Organisationen ist die Lage eindeutig: Ein regulärer Patch-Zyklus reicht bei einer bereits aktiv ausgenutzten kritischen Schwachstelle nicht aus.
Cisco stellt Sicherheitsupdates bereit und erklärt ausdrücklich, dass kein Workaround existiert, der die Schwachstelle zuverlässig beseitigt. Betroffene Systeme sollten daher möglichst rasch auf eine korrigierte Version aktualisiert werden.
Zusätzlich sollte geprüft werden, ob bereits verdächtige Aktivitäten stattgefunden haben. Cisco nennt hierfür unter anderem ungewöhnliche SQL-Anweisungen in den Mail-Logs sowie unerwartete Verbindungen vom Gateway zu externen IP-Adressen als mögliche Hinweise.
Bei virtuellen Appliances und einem begründeten Verdacht auf Kompromittierung empfiehlt Cisco unter anderem, forensische Informationen zunächst zu sichern, anschließend eine neue virtuelle Instanz mit korrigierter Software bereitzustellen und Zugangsdaten sowie kryptografisches Schlüsselmaterial zu erneuern.
Handlungsempfehlungen
- Installierte Version prüfen: Unternehmen sollten feststellen, ob Cisco Secure Email Gateway eingesetzt wird und welche AsyncOS-Version installiert ist.
- Sicherheitsupdate sofort einplanen: Verwundbare Systeme sollten auf eine der von Cisco freigegebenen korrigierten Versionen aktualisiert werden.
- Nicht auf einen Workaround verlassen: Für CVE-2026-76461 gibt es laut Cisco keine alternative Maßnahme, die das Sicherheitsupdate ersetzt.
- Logs auf Auffälligkeiten untersuchen: Neben den Mail-Logs sollten insbesondere externe Firewall- und Netzwerkprotokolle auf ungewöhnliche Verbindungen geprüft werden.
- Administrationszugänge beschränken: Management-Schnittstellen sollten nicht unnötig aus dem Internet erreichbar sein und nur von vertrauenswürdigen Systemen angesprochen werden können.
- Bei Kompromittierungsverdacht Zugangsdaten erneuern: Passwörter sowie auf dem System gespeicherte kryptografische Schlüssel und Zertifikate sollten überprüft und gegebenenfalls ersetzt werden.
- Security-Appliances in das Patchmanagement aufnehmen: Firewalls, VPN-Gateways, E-Mail-Sicherheitslösungen und ähnliche Systeme benötigen ebenso verbindliche Update- und Überwachungsprozesse wie klassische Server.
Quellen
„Cisco Secure Email Gateway SQL Injection Vulnerability“ – Cisco Security Advisory, 14. September 2026.
Cisco beschreibt CVE-2026-76461, die aktive Ausnutzung, betroffene Versionen, korrigierte Softwarestände sowie Maßnahmen bei Verdacht auf eine Kompromittierung.
Cisco Security Advisory zu CVE-2026-76461
„Kritische Sicherheitslücke in Cisco Secure Email Gateway – aktiv ausgenutzt – Updates verfügbar“ – CERT.at, 15. September 2026.
CERT.at warnt vor der aktiven Ausnutzung, nennt die betroffenen Softwarestände und empfiehlt das zeitnahe Einspielen der von Cisco bereitgestellten Updates.
CERT.at: Warnung zu Cisco Secure Email Gateway