EUVD-2026-101420 / CVE-2026-76519 Schwachstelle im Malware-Schutz von Cisco wird ausgenutzt

Anbieter zum Thema

cidaas by Widas ID GmbH

secunet Security Networks AG

SEPPmail - Deutschland GmbH

Cisco bestätigt aktive Angriffe auf das Secure Email Gateway. Über einen präparierten Mailanhang können Angreifer ohne Anmeldung Dateien schreiben und Befehle mit Root-Rechten ausführen.

Cisco hat am 14. Oktober 2026 ein Security Advisory zu einer kritischen Schwachstelle im Secure Email Gateway veröffentlicht. Cisco bestätigt, dass EUVD-2026-101420 / CVE-2026-76519 (CVSS-Score 9.8, EPSS-Score^* noch nicht verfügbar) bereits aktiv ausgenutzt wird. Die CISA hat sie am 14. Oktober in ihren KEV-Katalog aufgenommen.

Die Schwachstelle steckt in der Funktion Advanced Malware Protection (AMP) und beruht laut Cisco auf einer fehlerhaften Behandlung von E-Mail-Anhängen, wenn der File Reputation Service aktiviert ist. Ein nicht angemeldeter Angreifer aus der Ferne kann eine E-Mail mit einem präparierten Anhang über ein betroffenes Gerät senden. Bei erfolgreicher Ausnutzung kann er beliebige Dateien auf dem Betriebssystem schreiben und Befehle mit Root-Rechten ausführen.

Aktiv ausgenutzte SQL Injection

Root-Zugriff auf Cisco Secure Email Gateway per E-Mail

Betroffen sind dem Advisory zufolge physische und virtuelle Secure Email Gateways mit einem verwundbaren Release von Cisco AsyncOS Software, wenn beide Bedingungen gelten:

• Der „File Reputation“-Dienst, der Teil von Cisco AMP ist, ist aktiviert und einer E-Mail-Richtlinie zugewiesen.

• Die Version der „Content Scanner Tools“ ist älter als 25.3.0.5525.

Nicht betroffen sind laut Cisco Secure Email and Web Manager und Secure Web Appliance.

Betroffen sind laut Enisa 23 einzelne AsyncOS-Releases von 13.0.0-392 bis 16.0.4-016, darunter Versionen aller Reihen von 13.0 bis 16.0 sowie 15.5.0 bis 15.5.4. Behoben ist die Schwachstelle laut Cisco ab AsyncOS 15.5.5-014 und ab 16.5.0-780. Für die Reihe 16.0 nennt Cisco kein eigenes korrigiertes Release, sondern empfiehlt eine Migration auf ein korrigiertes Release. Für alle Versionen vor 16.5 nennt Cisco die Migration auf 16.5.0-780 als Lösung. Unabhängig vom Release enthalten die Content Scanner Tools ab Version 25.3.0.5525 die Korrektur. Cisco verteilt dieses Paket an alle lizenzierten und unterstützten AsyncOS-Releases. Das Update läuft ohne Software-Upgrade und ohne Neustart.

Kunden der Secure Email Cloud hat Cisco nach eigenen Angaben direkt kontaktiert, sofern es bei ihnen Hinweise auf eine mögliche Kompromittierung fand. Der Hersteller hat Ge­gen­maß­nah­men umgesetzt, die in seinem Einflussbereich liegen, und ist mit Maßnahmen zur Behebung und Wiederherstellung befasst.

Statische Zugangsdaten

Cisco warnt vor aktiv ausgenutzter FMC-Schwachstelle

Update einspielen und Systeme härten

Wer die automatischen Updates der Content Scanner Tools aktiviert hat, muss laut Cisco nach der Installation des Updates nichts weiter tun. Alle anderen sollten das Update manuell starten. Dafür geben Administratoren in der Kommandozeile (CLI) der Appliance den Befehl „contentscannerupdate“ ein.

Wer die automatischen Updates einschalten möchte, öffnet in der Weboberfläche „Security Services“ und dort „Service Updates“. Dann unter „Edit Update Settings“ den Haken bei „Automatic Updates“ setzen und die Änderung mit „Commit Changes“ bestätigen. Welche Version die Content Scanner Tools haben, zeigt der Befehl „contentscannerstatus“. Sie sollte 25.3.0.5525 oder höher sein. Nutzer der Secure Email Cloud müssen für das Update nichts tun, weil Cisco die korrigierte Version dort schon bereitgestellt hat.

Workarounds gibt es laut Cisco nicht. Der Hersteller empfiehlt aber allgemeine Härtungsmaßnahmen, die den Schutz durch das Update nicht ersetzen:

• Zugriff auf die Appliance aus dem Internet verhindern. Ist er nötig, nur bekannten, vertrauenswürdigen Hosts und nur über die in den Benutzerhandbüchern genannten Ports und Protokolle erlauben.

• Mail- und Management-Funktionen auf getrennte Netzwerkschnittstellen legen.

• Die Appliance hinter einem Filtersystem wie einer Firewall betreiben und den Management-Verkehr filtern. Nur bekannte, vertrauenswürdige Hosts sollen Verkehr an die Appliance senden dürfen.

• HTTP für das Administrationsportal abschalten und alle nicht benötigten Netzwerkdienste deaktivieren, darunter HTTP und FTP.

• Logs nach Möglichkeit an einen externen Server senden und so lange aufbewahren, dass spätere Untersuchungen genug Daten haben.

Angriffsfläche reduzieren

Systemhärtung schützt Netzwerke, Hardware und Daten

Systeme auf eine Kompromittierung prüfen

Um ihre Systeme auf eine Kompromittierung zu analysieren, können Admins die Protokolle mit dem Befehl „grep "System Security" system_logs“ durchsuchen. Bei einem Cluster, also mehreren verbundenen Appliances, gilt das für jedes Mitglied. Der Befehl listet Einträge auf, die „System Security“ enthalten. Drei Log-Meldungen sind dabei möglich:

• „System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.“ Das Gerät ist laut Cisco kompromittiert. Dann gelten die Empfehlungen im Advisory.

• „System Security: Security scan did not complete. Contact TAC for further recommendations.“ Admins sollen das Cisco Technical Assistance Center (TAC) kontaktieren.

• „System Security: No compromise indicator was found.“ Es wurde kein Hinweis auf eine Kompromittierung gefunden. Cisco empfiehlt dann ein Upgrade auf ein korrigiertes Release, falls das Gerät betroffen ist.

Bei der Secure Email Cloud können Administratoren ohne CLI-Zugriff diese Hinweise möglicherweise nicht selbst prüfen. Cisco warnt außerdem: Angreifer, die Root-Rechte erlangen, können Spuren und Indikatoren entfernen oder verbergen. Deshalb empfiehlt Cisco dringend, zusätzlich Netzwerk- und Firewall-Logs außerhalb des betroffenen Geräts zu prüfen. Auffällig können unter anderem unerwartete Uploads vom Gerät zu externen IP-Adressen oder Downloads von bösartigen Adressen sein.

Mark of the Web umgangen

Angreifer nutzen Zero Day in der Windows Shell aus

Was bei Verdacht auf eine Kompromittierung zu tun ist

Bei Verdacht auf einen Angriff bei einer physischen Appliance empfiehlt Cisco, das TAC zu kontaktieren. Damit die Untersuchung schneller geht, sollte der Remote-Zugriff auf dem Gerät aktiviert sein.

Bei einer virtuellen Appliance rät Cisco nach Möglichkeit zu diesen Schritten:

• Forensik-Daten sichern, bevor die weiteren Schritte folgen. Ein Upgrade einer kompromittierten Instanz zerstört Daten und Logs.

• Eine neue virtuelle Maschine mit einem korrigierten Release aufsetzen.

• Die Konfiguration neu aufbauen, ohne alte Konfigurationsdateien zu importieren.

• Zugangsdaten und kryptografisches Material auf dem Gerät erneuern.

• Das System weiter auf Auffälligkeiten überwachen.

Ist eine Wiederherstellung nicht möglich, empfiehlt Cisco, das TAC zu kontaktieren.

Cisco weist außerdem auf Folgen in Clustern hin. Die Mitglieder authentifizieren sich untereinander mit SSH-Schlüsselpaaren. Bei erfolgreicher Ausnutzung könnten die privaten Schlüssel auf einem kompromittierten Gerät ausgelesen werden. Das könnte Angreifern erlauben, weitere Mitglieder zu übernehmen. Cisco empfiehlt deshalb dringend, jedes Mitglied eines Clusters mit mindestens einem kompromittierten Gerät in eine sichere Konfiguration zurückzuversetzen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.