Cisco Secure Email Gateway: Kritische Zero-Day-Lücke aktiv ausgenutzt

Am Abend des 14. September 2026 hat Cisco ein Advisory zu einer Schwachstelle in seinem Produkt Secure Email Gateway veröffentlicht – und gleich mitgeteilt, dass die Lücke bereits aktiv ausgenutzt wird. Betroffen ist ein Gerät, das in vielen mittelständischen Unternehmen an einer besonders exponierten Stelle steht: dem Posteingang der gesamten Organisation. Wer ein solches Gateway betreibt, sollte diesen Beitrag nicht auf morgen verschieben.

Was passiert ist

Die Schwachstelle trägt die Kennung CVE-2026-76461 (öffnet in neuem Tab) und liegt im E-Mail-Parsing von AsyncOS, der Software, die Ciscos Secure Email Gateway antreibt. Laut dem Cisco-Advisory (öffnet in neuem Tab) reicht eine unzureichende Validierung von Eingaben beim Verarbeiten eingehender E-Mails aus, damit ein Angreifer über eine präparierte Nachricht schädliche SQL-Anweisungen einschleust – mit dem Ergebnis, dass er Befehle mit Root-Rechten auf dem darunterliegenden Betriebssystem ausführen kann.

Entscheidend für die Dringlichkeit sind drei Eigenschaften, die das BSI in seiner Cybersicherheitswarnung (öffnet in neuem Tab) vom 15. September 2026 benennt: Der Angriff funktioniert aus der Ferne, er benötigt keine vorherige Authentifizierung, und er ist nach eigenen Angaben des Herstellers bereits im Einsatz. Das BSI bewertet die Lage mit der Kritikalitätsstufe 3 von 4 ("Orange") und schreibt, dass Maßnahmen unverzüglich ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs möglich sei. Nach dem Common Vulnerability Scoring System erreicht die Lücke einen Wert von 9,8 von 10 – die zweithöchste Kategorie, die es gibt.

Cisco bestätigt laut Help Net Security (öffnet in neuem Tab) außerdem, dass sowohl physische als auch virtuelle Secure-Email-Gateway-Instanzen betroffen sind – unabhängig von der konkreten Konfiguration. Selbst Kunden von Ciscos Cloud-Variante, Cisco Secure Email Cloud, waren teilweise betroffen: Cisco hat nach eigenen Angaben alle Cloud-Geräte bereits auf die reparierte Version aktualisiert und Kunden direkt kontaktiert, bei denen Anzeichen einer Kompromittierung gefunden wurden.

Wer betroffen ist

Betroffen sind laut Cisco (öffnet in neuem Tab) folgende Versionsstände von AsyncOS for Cisco Secure Email Gateway:

• Version 15.5 und früher, sofern nicht auf 15.5.5-014 aktualisiert
• Version 16.0, sofern nicht auf 16.0.4-302 aktualisiert
• Version 16.5, sofern nicht auf 16.5.0-780 aktualisiert

Zwei verwandte Produkte sind laut Cisco ausdrücklich nicht betroffen: Secure Email and Web Manager sowie Secure Web Appliance. Wer nur diese Komponenten im Einsatz hat, muss an dieser Stelle nichts unternehmen – wer aber ein Secure Email Gateway selbst betreibt, egal ob als physisches Gerät oder als virtuelle Appliance, sollte den Versionsstand jetzt prüfen.

Workarounds, die vor einer Ausnutzung schützen, gibt es laut Cisco nicht. Der einzige Weg, die Lücke zu schließen, ist das Update auf eine der reparierten Versionen – Cisco empfiehlt dabei ausdrücklich den Umstieg auf 16.5.0-780, unabhängig vom aktuellen Patchstand.

Was jetzt konkret zu tun ist

1. Patchen, sofort. Aktualisieren Sie auf 15.5.5-014, 16.0.4-302 oder – von Cisco bevorzugt – 16.5.0-780. Ohne Workaround ist das Update der einzige wirksame Schutz.
2. Auf Kompromittierung prüfen. Cisco empfiehlt laut Advisory, die mail_logs nach verdächtigen SQL-Befehlen zu durchsuchen, etwa mit grep -i "COPY.*TO PROGRAM" mail_logs. Jeder Treffer ist laut Cisco ein Anfangsverdacht für eine Kompromittierung.
3. Nicht nur die eigenen Logs vertrauen. Da Angreifer mit Root-Rechten operieren, können sie laut BSI ihre Spuren auf dem betroffenen Gerät selbst löschen oder verändern. Prüfen Sie deshalb zusätzlich Firewall-Logs und externe Logserver auf unerwartete Uploads vom Gateway zu externen IP-Adressen oder verdächtige Downloads.
4. Bei virtuellen Appliances im Verdachtsfall neu aufsetzen. Cisco rät bei vermuteter Kompromittierung einer virtuellen Instanz dazu, zunächst forensische Informationen zu sichern, dann eine neue virtuelle Maschine mit einer reparierten Version aufzusetzen, die Konfiguration neu aufzubauen und alle auf dem Gerät hinterlegten Zugangsdaten sowie kryptografischen Schlüssel zu erneuern.
5. Internetzugriff einschränken. Cisco empfiehlt grundsätzlich, den Zugriff aus dem Internet auf das Gateway zu verhindern oder auf bekannte, vertrauenswürdige Systeme zu beschränken, Mail- und Management-Funktionen auf getrennten Netzwerkschnittstellen zu betreiben und das Gerät hinter einer Firewall zu platzieren.

Für Unternehmen, die Cisco Secure Email Cloud nutzen, gilt eine Besonderheit: Wer über mögliche Kompromittierungsanzeichen direkt von Cisco kontaktiert wurde, sollte laut Hersteller vorsorglich alle auf dem Gerät hinterlegten Zugangsdaten und kryptografischen Materialien erneuern – auch wenn der Zugriff auf CLI-Logs bei der Cloud-Variante eingeschränkt ist.

Kein Einzelfall – aber ein wiederkehrendes Muster

Diese Lücke ist nicht die erste kritische Schwachstelle in Ciscos E-Mail-Sicherheitsprodukten. BleepingComputer (öffnet in neuem Tab) berichtet, dass die US-Cybersicherheitsbehörde CISA CVE-2026-76461 bereits am 15. September – nur einen Tag nach Veröffentlichung des Advisories – in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden angewiesen hat, bis zum 17. September nachzurüsten. Diese Drei-Tage-Frist gilt zwar formal nur für US-Behörden, sie ist aber ein brauchbarer Maßstab für die eigene Priorisierung: Wenn eine Behörde mit üblicherweise langsamen Beschaffungsprozessen drei Tage als angemessen ansieht, ist das kein Zeitfenster, das sich ein mittelständisches Unternehmen mit einem einzelnen exponierten Gateway leisten sollte zu überschreiten.

Der Fall reiht sich zudem in eine Serie von Schwachstellen bei Herstellern ein, die im Zentrum der Unternehmens-IT stehen. Vinspire hat in den vergangenen Wochen bereits über die OVERPASS-Schwachstelle in SAP-Systemen und die Sicherheitslücke in PaperCut berichtet. Das Muster ist jedes Mal ähnlich: Ein zentrales, oft aus dem Internet erreichbares System wird zum Einfallstor, sobald ein Patch fehlt – und die Angreifer sind regelmäßig schneller im Ausnutzen als viele Unternehmen im Patchen.

Auch für Anbieter und Hersteller von Software selbst wird das Thema Meldepflicht relevanter: Seit dem 11. September 2026 gelten im Rahmen des Cyber Resilience Act verkürzte Fristen für die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Wie sich diese gesetzliche Pflicht von freiwilligen Meldewegen wie security.txt unterscheidet, hat Vinspire an anderer Stelle eingeordnet.

Warum E-Mail-Gateways ein besonders lohnendes Ziel sind

Ein Secure Email Gateway verarbeitet naturgemäß Inhalte von außen, bevor irgendein Mitarbeiter sie zu Gesicht bekommt – das ist sein Zweck. Genau das macht es aber auch zu einem Ziel, das keine Interaktion eines Menschen benötigt: Die vorliegende Lücke wird laut Cisco allein durch das Zusenden einer präparierten E-Mail ausgelöst, niemand muss einen Anhang öffnen oder einen Link anklicken. Für ein System, das an dieser Stelle in der Infrastruktur sitzt – meist mit weitreichenden Rechten und oft direkt aus dem Internet erreichbar –, bedeutet eine erfolgreiche Ausnutzung potenziell den Zugriff auf die gesamte E-Mail-Kommunikation des Unternehmens sowie einen Ausgangspunkt für weitere Angriffe im internen Netzwerk.

Für Unternehmen ohne eigenes Security Operations Center heißt das konkret: Ein Patch-Prozess, der kritische Sicherheitsupdates für internetseitig erreichbare Systeme innerhalb weniger Tage ausrollen kann, ist keine Kür mehr, sondern eine Grundvoraussetzung. Wer nicht weiß, wie schnell ein solches Update in der eigenen Landschaft tatsächlich installiert würde, sollte diesen Fall zum Anlass nehmen, genau das zu klären – bevor die nächste Zero-Day-Warnung eintrifft.

Wie Sie prüfen, ob Sie überhaupt betroffen sein können

Bevor Sie sich mit Update-Prozeduren beschäftigen, steht eine einfachere Frage: Betreiben Sie überhaupt ein Cisco Secure Email Gateway, und wenn ja, in welcher Version? In größeren IT-Landschaften mit mehreren Standorten oder nach Übernahmen ist das nicht immer allen im Unternehmen bekannt – gerade wenn das Gerät seit Jahren unauffällig seinen Dienst tut und niemand mehr aktiv daran denkt. Ein kurzer Check lohnt sich:

• Inventar prüfen. Klären Sie mit Ihrem IT-Dienstleister oder der internen IT, ob und wo Secure-Email-Gateway-Appliances im Einsatz sind – physisch, virtualisiert oder als Cisco-Cloud-Variante.
• Versionsstand feststellen. Über die Weboberfläche oder CLI der Appliance lässt sich die installierte AsyncOS-Version auslesen. Alles unterhalb von 15.5.5-014, 16.0.4-302 beziehungsweise 16.5.0-780 gilt laut Cisco als verwundbar.
• Erreichbarkeit dokumentieren. Ist das Gerät direkt aus dem Internet erreichbar, oder läuft der Zugriff über eine Firewall mit eingeschränkten Quell-IPs? Das beeinflusst, wie dringend die Priorisierung ausfallen sollte, ändert aber laut Cisco nichts daran, dass letztlich nur der Patch die Lücke schließt.

Wer diese drei Punkte nicht aus dem Stand beantworten kann, hat damit bereits den eigentlichen Befund: Es fehlt nicht in erster Linie an technischem Wissen, sondern an einem Prozess, der bei einer Herstellerwarnung wie dieser automatisch die richtigen Systeme identifiziert – statt bei jeder neuen CVE-Nummer erst mühsam nachzufragen, wer eigentlich zuständig ist.