CISA nahm CVE-2026-76519 am 14. Oktober 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Cisco Secure Email Gateway ist laut den Berichten nur unter bestimmten Konfigurationsbedingungen betroffen; Cisco wurde im Oktober auf aktive Ausnutzung aufmerksam. CISA begründete den Eintrag mit Hinweisen auf aktive Ausnutzung, während The Hacker News und The Register Ciscos Kenntnisnahme im Oktober meldeten.

Was CVE-2026-76519 ermöglicht

Die Schwachstelle betrifft die Verarbeitung von E-Mail-Anhängen durch Advanced Malware Protection (AMP) in Cisco Secure Email Gateway. Nach dem Bericht von The Hacker News könnte ein nicht authentifizierter Angreifer mit einem speziell präparierten Anhang Dateien auf dem Gerät schreiben und Befehle mit Root-Rechten ausführen. Cisco Secure Email Gateway gilt dabei nicht pauschal als betroffen: Entscheidend sind die Konfiguration und die Version der Scanner-Komponente. The Hacker News beschreibt den Angriffspfad und die betroffenen Geräte.

CISA führte CVE-2026-76519 am 14. Oktober in den KEV-Katalog ein. Die Behörde ordnete die Schwachstelle damit als bekanntermaßen ausgenutzt ein. The Hacker News berichtete außerdem, dass korrigierte AsyncOS-Versionen bereits am 14. September veröffentlicht worden waren. Cisco wurde den Berichten zufolge erst im Oktober auf aktive Ausnutzung aufmerksam; wann die Angriffe begannen, geht daraus nicht hervor.

Welche Konfiguration kann betroffen sein?

Laut dem Bericht müssen beide Bedingungen erfüllt sein: File Reputation ist aktiviert und einer Mailrichtlinie zugewiesen, und Content Scanner Tools ist älter als 25.3.0.5525. Betroffen sein können physische und virtuelle Cisco Secure Email Gateway-Geräte mit einer verwundbaren AsyncOS-Version. Der Bericht grenzt Cisco Secure Email and Web Manager und Cisco Secure Web Appliance davon ab.

Gemeldete BedingungSo prüfen Sie sie
File Reputation ist aktiviert und einer Mailrichtlinie zugewiesen.Prüfen Sie die betreffende Eingangs- oder Ausgangsrichtlinie unter Mail Policies > Incoming Mail Policies > Advanced Malware Protection beziehungsweise Mail Policies > Outgoing Mail Policies > Advanced Malware Protection. Dort muss „Enable File Reputation“ ausgewählt sein.
Content Scanner Tools ist älter als 25.3.0.5525.Führen Sie contentscannerstatus aus und prüfen Sie die angezeigte Version.

Eine aktualisierte Scanner-Version sollte nicht einfach vorausgesetzt werden: The Hacker News zufolge sollten Administratoren die installierte Version ausdrücklich kontrollieren. Ist die automatische Aktualisierung deaktiviert, lässt sich das Update dem Bericht zufolge mit contentscannerupdate anstoßen oder unter Security Services > Service Updates aktivieren.

Welche Updates werden genannt?

The Hacker News nennt AsyncOS 15.5.5-014 und AsyncOS 16.5.0-780 als korrigierte Versionen. Als weitere Option wird Content Scanner Tools ab Version 25.3.0.5525 für lizenzierte und unterstützte AsyncOS-Versionen beschrieben. Dieses Scanner-Update soll ohne AsyncOS-Upgrade und ohne Neustart installierbar sein. The Register berichtete, Cisco empfehle für Gateways mit einer Version älter als 16.5 den Wechsel auf AsyncOS 16.5.0-780. Einen Workaround gibt es laut Ciscos Auskunft an The Register nicht; die genannten Korrekturen sind daher der zentrale Ansatz.

Was bei einem möglichen Kompromiss zählt

Der gemeldete Prüfaufruf lautet grep "System Security" system_logs. Ein Ergebnis ohne gefundenen Hinweis belegt jedoch nicht, dass das Gerät sauber ist: Ein Angreifer mit Root-Rechten könnte Spuren entfernen oder verbergen. Cisco empfiehlt laut The Hacker News außerdem, Firewall- und externe Netzwerkprotokolle auf ungewöhnliche Übertragungen zu prüfen und den Befehl für jedes Cluster-Mitglied auszuführen.

Bei einem möglicherweise kompromittierten virtuellen Gerät kommt die Sicherung forensischer Daten vor Änderungen oder einem Neuaufbau. Die von The Hacker News wiedergegebene Reihenfolge lautet:

  1. Forensische Daten sichern, bevor Sie das Gerät verändern.
  2. Eine neue virtuelle Maschine mit einer korrigierten Version bereitstellen.
  3. Die Konfiguration neu aufbauen, ohne die alte Konfigurationsdatei zu importieren.
  4. Zugangsdaten und kryptografisches Material erneuern und das Gerät weiter überwachen.

Ist ein Mitglied eines Clusters kompromittiert, empfiehlt Cisco laut dem Bericht, alle Mitglieder wiederherzustellen, weil SSH-Privatschlüssel eines kompromittierten Geräts weitere Cluster-Mitglieder gefährden könnten. Bei einem physischen Gerät sollen Kunden den Cisco Technical Assistance Center (TAC) kontaktieren und für die Untersuchung den Fernzugriff ermöglichen.

Für wen gilt CISA-Richtlinie BOD 26-04?

CISAs Binding Operational Directive 26-04 gilt laut der Mitteilung der Behörde für US-Bundesbehörden der Federal Civilian Executive Branch. Sie priorisiert dort Hochrisiko-Schwachstellen auf öffentlich erreichbaren Systemen, wenn eine Ausnutzung vollständige Kontrolle ermöglicht, und sieht Prüfungen auf eine mögliche Kompromittierung vor dem Patchen vor. Anderen Organisationen empfiehlt CISA ein risikobasiertes Vorgehen bei Schwachstellen aus dem KEV-Katalog; die Richtlinie selbst gilt nicht für alle Unternehmen.