AKTUELL
Cisco Secure Email Gateway: CVE-2026-76461 wird aktiv ausgenutzt
Cisco warnt vor einer aktiv ausgenutzten Schwachstelle im Secure Email Gateway: CVE-2026-76461 kann ohne Anmeldung über eine präparierte E-Mail angegriffen werden und im Erfolgsfall Befehle mit Root-Rechten auf dem zugrunde liegenden System ermöglichen. Betroffen sind sowohl physische als auch virtuelle Geräte mit verwundbaren AsyncOS-Versionen. Für Unternehmen und Behörden reicht es deshalb nicht, die nächste reguläre Wartung abzuwarten; sie müssen den Softwarestand prüfen, aktualisieren und je nach Befund nach Spuren eines bereits erfolgten Zugriffs suchen.
CVE-2026-76461 trifft physische und virtuelle Gateways
Nach der Cisco-Sicherheitsmeldung liegt der Fehler in der Verarbeitung eingehender E-Mails. Das Unternehmen schränkt die Betroffenheit nicht auf eine besondere Gerätekonfiguration ein: Cisco Secure Email Gateway ist in der physischen und virtuellen Ausführung betroffen, sofern eine verwundbare Version von AsyncOS installiert ist.
Korrigiert ist der 15.5-Zweig ab Version 15.5.5-014, der 16.0-Zweig ab 16.0.4-302 und der 16.5-Zweig mit 16.5.0-780. Cisco empfiehlt ausdrücklich den Wechsel auf 16.5.0-780. Einen Workaround, der die Schwachstelle schließt, gibt es nicht. Secure Email and Web Manager sowie Secure Web Appliance sind nach Angaben des Herstellers von genau dieser CVE nicht betroffen; separate Sicherheitsmeldungen für diese Produkte müssen dennoch unabhängig geprüft werden.
Für Cisco Secure Email Cloud nennt das Unternehmen einen anderen Betriebsstand: Sämtliche dort verwalteten Secure-Email-Gateway-Geräte seien bereits auf 16.5.0-780 aktualisiert worden. Kunden, auf deren Cloud-Geräten Hinweise auf mögliche schädliche Aktivität gefunden wurden, habe Cisco direkt kontaktiert. Organisationen sollten daher zuerst klären, ob sie eine eigene Appliance betreiben oder ob Aktualisierung und Untersuchung vollständig durch Cisco beziehungsweise einen Dienstleister erfolgen.
Eine präparierte E-Mail kann bis zu Root-Befehlen führen
Die Schwachstelle entsteht durch eine unzureichende Prüfung von Eingaben beim Parsen einer Nachricht. Ein entfernter Angreifer kann laut Cisco eine speziell erstellte E-Mail mit schädlichen SQL-Anweisungen durch das Gateway schicken. Gelingt der Angriff, lassen sich zunächst beliebige SQL-Anweisungen und daraus Betriebssystembefehle mit Root-Rechten ausführen.
Das unterscheidet den Fall von einer gewöhnlichen Phishing-Mail oder einem schädlichen Anhang, den ein Empfänger erst öffnen müsste. Für CVE-2026-76461 sind weder ein Benutzerkonto noch eine Interaktion des Mail-Empfängers erforderlich. Angegriffen wird die Sicherheitskomponente, die Nachrichten eigentlich prüfen soll. Cisco bewertet die Schwachstelle mit 9,8 von 10 Punkten nach CVSS 3.1.
Cisco zufolge wurde das eigene Sicherheitsteam im September auf aktive Ausnutzung aufmerksam. Die US-Cybersicherheitsbehörde nahm CVE-2026-76461 am 14. September in ihren Katalog nachweislich ausgenutzter Schwachstellen auf. Die dort genannte Frist bis zum 17. September ist für betroffene US-Bundesbehörden verbindlich und kein deutscher Patch-Stichtag. Die bestätigte Angriffslage ist jedoch auch für europäische Betreiber relevant, weil die technische Schwachstelle nicht auf eine Region begrenzt ist. Das finnische Cybersecurity Centre veröffentlichte am 15. September ebenfalls eine kritische Warnung.
Ein Update schließt die Lücke, beseitigt aber keinen früheren Zugriff
Wer eine betroffene Version betreibt und keine Angriffsspuren erkennt, sollte trotzdem unverzüglich auf einen korrigierten Stand wechseln. Weil Cisco keinen Workaround nennt und die Ausnutzung bestätigt ist, ersetzt eine Einschränkung des Verwaltungszugangs das Update nicht. Zusätzliche Abschottung und getrennte Schnittstellen für Mailverkehr und Administration bleiben sinnvolle Härtungsmaßnahmen, schließen den Fehler in der Nachrichtenverarbeitung aber nicht.
Für die erste Kontrolle verweist Cisco auf die Mail-Protokolle. Auffällig können SQL-Anweisungen sein, die über ein Muster wie „COPY … TO PROGRAM“ die Ausführung eines Programms anstoßen. Bei Geräten in einem Cluster müssen die Protokolle jedes einzelnen Knotens geprüft werden. Zugleich warnt Cisco davor, sich allein auf lokale Logs zu verlassen: Root-Zugriff kann es Angreifern ermöglichen, Spuren zu entfernen oder zu verbergen. Deshalb gehören auch externe Netzwerk- und Firewall-Protokolle in die Untersuchung, insbesondere unerwartete Uploads zu externen Adressen oder Downloads von verdächtigen Quellen.
Bei einer möglicherweise kompromittierten physischen Appliance empfiehlt Cisco die Einbindung des Technical Assistance Center. Für virtuelle Geräte beschreibt der Hersteller einen weitergehenden Wiederherstellungsweg: Zuerst müssen forensische Daten gesichert werden, danach soll eine neue virtuelle Maschine mit korrigierter Software bereitgestellt und die Konfiguration neu aufgebaut werden. Installierte Zugangsdaten sowie kryptografisches Material sind zu erneuern, anschließend ist das System auf ungewöhnliches Verhalten zu überwachen. Ein vorschneller Neuaufbau ohne Beweissicherung kann wichtige Spuren vernichten.
Was die Warnung für Mailnutzer bedeutet
Private Nutzer können CVE-2026-76461 nicht durch ein Update ihres Notebooks, Smartphones oder Mailprogramms schließen. Zuständig ist der Betreiber des vorgeschalteten Cisco-Gateways – etwa das Unternehmen, die Behörde oder ein beauftragter Dienstleister. Die Warnung bedeutet zudem nicht, dass jede über ein solches System zugestellte Nachricht manipuliert wurde oder dass alle Nutzerkonten kompromittiert sind.
Der bereits von gadgetChecks behandelte Angriff auf eine Zimbra-Mailserver-Komponente zeigt eine ähnliche Grundidee, beruhte aber auf einer bestimmten Kombination aus Version und aktivierter SNMP-Überwachung und führte zur Befehlsausführung mit den Rechten des Zimbra-Systemkontos. Cisco beschreibt nun einen eigenständigen Fehler in der E-Mail-Verarbeitung seines Gateways, der unabhängig von der Gerätekonfiguration bis zu Root-Rechten führen kann. Betreiber beider Systeme benötigen daher jeweils die produktspezifischen Updates und Prüfhinweise.
Offen bleibt, welche Angreifer CVE-2026-76461 ausnutzen, seit wann die beobachtete Kampagne läuft und wie viele Organisationen betroffen sind. Cisco veröffentlicht bislang weder Opferzahlen noch Länderangaben oder eine vollständige Angriffschronologie. Eine erfolgreiche Aktualisierung ist damit nur der erste überprüfbare Schritt: Bei zuvor verwundbaren Gateways muss die Frage nach einer möglichen Kompromittierung getrennt beantwortet werden.
Stand der Recherche: 15. September 2026, 18:16 Uhr CEST.
Hauptquellen
- Cisco: Sicherheitsmeldung zu CVE-2026-76461
- CISA: Known Exploited Vulnerabilities Catalog
- Canadian Centre for Cyber Security: Cisco Security Advisory AV26-921
- Finnisches Cybersecurity Centre: Warnung zu CVE-2026-76461
Transparenzhinweis: Der Beitrag beruht auf den genannten Hersteller- und Behördenmeldungen sowie redaktioneller Einordnung. gadgetChecks hat keine betroffene Appliance selbst untersucht. Angaben zu Cloud-Aktualisierungen, Kontaktaufnahmen und beobachteten Angriffen stammen von Cisco; öffentlich überprüfbare Opferzahlen liegen nicht vor.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
