Cisco Secure Email Gateway: Beliebiges Schreiben von Dateien über AMP File Reputation

Zusammenfassung

Eine Schwachstelle in der Funktion Advanced Malware Protection (AMP) von Cisco Secure Email Gateway (AsyncOS) erlaubt einem nicht authentifizierten Angreifer aus der Ferne, beliebige Dateien auf dem zugrunde liegenden Betriebssystem zu schreiben. Dazu genügt eine E-Mail mit einem präparierten Anhang, die über das betroffene Gerät geleitet wird; bei erfolgreicher Ausnutzung lassen sich Befehle mit Root-Rechten ausführen. Das Gerät ist nur betroffen, wenn File Reputation aktiviert und einer Mail Policy zugewiesen ist und die Content Scanner Tools älter als 25.3.0.5525 sind. Cisco meldet eine aktive Ausnutzung, und die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen.

Betroffen

• Cisco Secure Email Gateway (physisch und virtuell) mit verwundbaren AsyncOS-Versionen, einschliesslich 13.x-, 14.x-, 15.0.x-, 15.5.0- und 15.5.1-Builds gemäss CVE-Eintrag
• Nur wenn File Reputation (Teil von Cisco AMP) aktiviert und einer Mail Policy zugewiesen ist
• Nur wenn die Content Scanner Tools älter als 25.3.0.5525 sind
• Gemäss Cisco nicht betroffen: Secure Email and Web Manager, Secure Web Appliance

Behoben in

• AsyncOS 15.5: 15.5.5-014 oder neuer
• AsyncOS 16.5: 16.5.0-780 oder neuer
• AsyncOS 16.0: auf eine korrigierte Version migrieren (von Cisco kein Build genannt; 16.0.4-302 nicht als sicher betrachten)
• Content Scanner Tools: 25.3.0.5525 oder neuer

Umgehung

• Cisco gibt an, dass keine Workarounds verfügbar sind.
• Das Deaktivieren von File Reputation würde die Voraussetzung entfernen, ist aber keine von Cisco genannte Massnahme und die Wirksamkeit ist nicht verifiziert. Nur als kurzfristige Übergangslösung verwenden.

Ausnutzung

• Das PSIRT von Cisco hat im Oktober 2026 von einer aktiven Ausnutzung erfahren.
• CISA KEV: aufgenommen am 2026-10-14, Fälligkeitsdatum 2026-10-17 für US-Bundesbehörden.
• Einsatz in Ransomware-Kampagnen: unbekannt. Umfang der Angriffe: unbekannt.
• In den geprüften Quellen ist kein öffentlicher Proof-of-Concept bestätigt.

Unsere Empfehlung

• Prüfen, ob File Reputation in einer Mail Policy aktiviert ist, und die Version der Content Scanner Tools mit contentscannerstatus kontrollieren.
• Auf eine korrigierte AsyncOS-Version und auf Content Scanner Tools 25.3.0.5525 oder neuer aktualisieren.
• Falls das Gerät während der Verwundbarkeit exponiert war, als potenziell kompromittiert behandeln: Forensik vor dem Update sichern, die system_logs nach den Einträgen 'System Security' durchsuchen und Firewall- und Netzwerklogs ausserhalb des Geräts auf unerwartete Uploads zu externen IP-Adressen prüfen.
• Bei einem Kompromittierungsindikator das Gerät auf einer korrigierten Version neu aufsetzen, ohne alte Dateien zu importieren, Zugangsdaten erneuern und alle betroffenen Cluster-Mitglieder wiederherstellen.
• Bei einem Fund oder unklarem 16.0-Upgrade-Pfad das Cisco TAC kontaktieren.
• Prüfen, ob die Security Management Appliance betroffen ist, bevor darauf gehandelt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Mickysalivan/CVE-2026-76519-Proof-of-concept

Quellen der Recherche

• Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog: CVE-2026-76519 www.cisa.gov
• Cisco advisory (fixed releases table) www.cisco.com
• BetaNews: Cisco email gateway CVE-2026-76519 exploited betanews.com
• GBHackers: Cisco Secure Email Gateway zero-day gbhackers.com
• Threat Frontier: Cisco Secure Email Gateway CVE-2026-76519 exploited (root) threatfrontier.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:23.