CVE-2026-76461 wird aktiv ausgenutzt: Cisco-Mail-Gateway sofort aktualisieren

Eine manipulierte E-Mail kann ein ungepatchtes Cisco Secure Email Gateway bereits beim automatischen Prüfen kompromittieren; niemand muss sie öffnen. Cisco bestätigt aktive Ausnutzung, nennt keinen Workaround und empfiehlt das Update auf 16.5.0-780.

Cisco Secure Email Gateway, kurz SEG, ist eine physische oder virtuelle Sicherheits-Appliance, die eingehende E-Mails vor der Zustellung automatisch prüft. CVE-2026-76461 betrifft diesen Prüfweg: Eine präparierte Nachricht kann auf einem ungepatchten Gerät SQL-Befehle einschleusen und dadurch Betriebssystembefehle mit Root-Rechten ermöglichen. Niemand muss die Mail öffnen, auf einen Link klicken oder sich am Gateway anmelden.

Cisco bewertet die Lücke mit CVSS 9,8 als kritisch und bestätigt aktive Ausnutzung im September 2026. Deshalb gilt sie im Sicherheitsradar als aktiv ausgenutzt.

Was Nutzer und Betreiber sehen

Der Angriff beginnt wie eingehender Mailverkehr: Das Gateway nimmt eine speziell gebaute Nachricht an und untersucht ihren Inhalt automatisch. Gerade diese Verarbeitung ist der Angriffsweg. Für Empfänger gibt es weder Warnbox noch Freigabeabfrage; die Nachricht muss nicht bis ins Postfach gelangen.

Betreiber erkennen einen Vorfall eher indirekt. Cisco nennt verdächtige SQL-Anweisungen in den mail_logs als mögliches Signal. Zusätzlich sollen externe Netzwerk- und Firewall-Protokolle auf unerwartete Uploads oder Downloads des Gateways geprüft werden. Externe Logs sind wichtig, weil Root-Zugriff das Verbergen oder Entfernen lokaler Spuren erlauben kann.

Warum die Lücke so weit reicht

Eine SQL-Injection ist eine Schwachstelle, bei der fremde Eingaben unbeabsichtigt als Datenbankbefehl interpretiert werden. Laut Cisco validiert die E-Mail-Verarbeitung bestimmte Inhalte unzureichend. Erfolgreich eingeschleuste SQL-Anweisungen können in eine Ausführung beliebiger Befehle auf dem Betriebssystem münden.

Root ist das weitreichendste Administratorkonto eines Unix-ähnlichen Systems. In einem Cluster können laut Cisco außerdem private SSH-Schlüssel eines kompromittierten Mitglieds zugänglich werden. Diese Schlüssel können die Kompromittierung weiterer Cluster-Mitglieder ermöglichen. Deshalb muss ein Cluster mit mindestens einem kompromittierten Gerät als Verbund wiederhergestellt werden.

Betroffen sind Cisco Secure Email Gateways als Hardware und virtuelle Appliance unabhängig von ihrer Gerätekonfiguration. Cisco Secure Email and Web Manager und Secure Web Appliance sind laut Hersteller nicht betroffen.

Was jetzt zu tun ist

Cisco nennt keinen Workaround. Die ersten korrigierten Releases sind:

AsyncOS-Zweig	Erste feste Version
15.5 und älter	`15.5.5-014`
16.0	`16.0.4-302`
16.5	`16.5.0-780`

Cisco empfiehlt Systemen vor 16.5 ausdrücklich den Wechsel auf 16.5.0-780. Für ein verwundbares System ohne Verdachtsmomente ist das Update der nächste Schritt.

Bei Verdacht auf Ausnutzung reicht Patchen nicht. Für physische Appliances empfiehlt Cisco die Abstimmung mit dem Technical Assistance Center. Für virtuelle Appliances nennt der Hersteller unter anderem: forensische Daten vor Änderungen sichern, eine neue virtuelle Maschine mit fester Version bereitstellen, die Konfiguration neu aufbauen sowie Zugangsdaten und kryptografisches Material erneuern. In einem betroffenen Cluster soll jedes Mitglied sicher wiederhergestellt werden.

Das Advisory erschien am 14. September 2026 und wurde am 17. September um Clusterhinweise ergänzt. Ausnutzung bestätigt, Fix verfügbar, kein Workaround: Das ist eine klare Patchpriorität.

Quellen

Cisco Security Advisory: Cisco Secure Email Gateway SQL Injection Vulnerability, veröffentlicht am 14. September und aktualisiert am 17. September 2026
CISA Known Exploited Vulnerabilities Catalog: CVE-2026-76461, aufgenommen am 14. September 2026

Quellenstand: 20. September 2026.