CISA heeft CVE-2026-76519 op 14 oktober 2026 toegevoegd aan de Known Exploited Vulnerabilities-catalogus (KEV), op basis van bewijs van actieve exploitatie. Cisco zegt in oktober op de hoogte te zijn geraakt van aanvallen op Cisco Secure Email Gateway (SEG). De gemelde kwetsbaarheid raakt een specifieke configuratie: File Reputation moet zijn ingeschakeld en aan een mailbeleid zijn toegewezen, en Content Scanner Tools moet ouder zijn dan versie 25.3.0.5525. CISA
Wat CVE-2026-76519 kan doen
CVE-2026-76519 is een kwetsbaarheid in de manier waarop Advanced Malware Protection (AMP) e-mailbijlagen verwerkt. Volgens The Hacker News kan een aanvaller op afstand zonder account via een speciaal gemaakte e-mailbijlage een padtraversal uitvoeren en bestanden op een kwetsbaar apparaat schrijven. The Register meldt dat Cisco de mogelijke impact omschrijft als het uitvoeren van opdrachten met rootrechten op het onderliggende besturingssysteem. Dat is een mogelijk gevolg van misbruik, geen vaststelling dat een specifiek apparaat zo is overgenomen. The Register
Welke gateways aan de blootstellingsvoorwaarden voldoen
De gemelde blootstelling vereist zowel een kwetsbare AsyncOS-release als beide onderstaande configuratievoorwaarden. De fysieke en virtuele SEG-apparaten vallen binnen de beschreven reikwijdte als aan die voorwaarden is voldaan.
| Gemelde voorwaarde | Zo controleer je die |
| File Reputation is ingeschakeld en toegewezen aan een mailbeleid. | Controleer het relevante inkomende of uitgaande mailbeleid via Mail Policies > Incoming Mail Policies > Advanced Malware Protection, of het overeenkomstige pad voor uitgaand verkeer. Kijk of Enable File Reputation is geselecteerd. |
| Content Scanner Tools is ouder dan 25.3.0.5525. | Voer contentscannerstatus uit en controleer de getoonde versie. |
Een scanner-versie van 25.3.0.5525 of hoger voldoet aan de gemelde versievoorwaarde voor de scanner; het advies geldt voor gelicentieerde en ondersteunde AsyncOS-releases. Controleer de geïnstalleerde versie in plaats van ervan uit te gaan dat een automatische update is voltooid.
Welke fixes zijn gemeld
The Hacker News noemt AsyncOS 15.5.5-014 en AsyncOS 16.5.0-780 als vaste releases. Ook kan Content Scanner Tools volgens die berichtgeving worden bijgewerkt naar versie 25.3.0.5525 of hoger, mits de AsyncOS-release gelicentieerd en ondersteund is. De scannerupdate kan volgens hetzelfde bericht worden geïnstalleerd zonder AsyncOS te upgraden of het apparaat opnieuw op te starten. Als automatische scannerupdates zijn uitgeschakeld, kan een beheerder contentscannerupdate uitvoeren of updates inschakelen via Security Services > Service Updates.
The Register meldt dat Cisco geen workaround biedt. De genoemde oplossing is daarom een vaste AsyncOS-release of de scannerupdate, afhankelijk van de ondersteunde configuratie.
Wat te doen bij een mogelijke compromittering
De door The Hacker News beschreven Cisco-controle gebruikt het commando grep "System Security" system_logs. Een resultaat zonder gevonden indicatoren bewijst niet dat het apparaat schoon is: een aanvaller met rootrechten kan sporen verbergen of verwijderen. Controleer daarom ook firewall- en externe netwerklogs op ongebruikelijke overdrachten, zoals uploads naar onbekende adressen.
Bij een mogelijk gecompromitteerde virtuele appliance is de gemelde herstelvolgorde belangrijk: bewaar eerst forensische gegevens, zet daarna een nieuwe virtuele machine op met een vaste release en bouw de configuratie opnieuw op zonder het oude configuratiebestand te importeren. Vernieuw vervolgens inloggegevens en cryptografisch materiaal en blijf het netwerk monitoren. Bij een gecompromitteerd cluster adviseert Cisco volgens The Hacker News om alle clusterleden te herstellen als één lid is getroffen. Voor een fysieke appliance verwijst de gemelde richtlijn naar Cisco Technical Assistance Center (TAC).
Voor wie geldt CISA-richtlijn BOD 26-04?
CISA zegt dat Binding Operational Directive 26-04 alleen geldt voor instanties van de Amerikaanse Federal Civilian Executive Branch. De richtlijn geeft prioriteit aan risicovolle kwetsbaarheden op publiek bereikbare systemen wanneer misbruik volledige controle kan opleveren. Andere organisaties moedigt CISA aan KEV-kwetsbaarheden risicogestuurd aan te pakken, maar de richtlijn geldt niet voor hen. CISA
