Das Wichtigste in Kürze
Cisco Secure Email Gateways mit aktivierter File Reputation kann jeder, der ihnen eine E-Mail schicken kann, mit Root-Rechten übernehmen. Cisco hat die Lücke CVE-2026-76519 (CVSS 9.8) am 14. Oktober 2026 veröffentlicht, nachdem Angreifer sie bereits genutzt hatten. CISA setzte US-Bundesbehörden eine Frist bis 18. Oktober. Ein Update der Content Scanner Tools auf 25.3.0.5525 schließt die Lücke ohne Neustart – und für Teams, die Mail-Filterung als Teil ihrer Cloud- und DevOps-Infrastruktur betreiben, sollte es noch heute ausgerollt werden.
Was hat Cisco veröffentlicht?
Ciscos Advisory beschreibt einen Path Traversal in der Funktion Advanced Malware Protection (AMP) des Secure Email Gateway, der früheren Email Security Appliance. Beim Verarbeiten eines Anhangs schränkt das Gateway Dateipfade nicht korrekt ein, sodass eine präparierte Datei außerhalb des vorgesehenen Verzeichnisses geschrieben werden kann. Laut Cisco kann ein erfolgreicher Angriff beliebige Dateien schreiben und Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem ausführen.
Weder ein Login noch ein Klick eines Nutzers ist nötig: Der Angreifer muss nur eine Nachricht an das Gateway zustellen – genau das, wofür ein Mail-Gateway da ist. Ciscos PSIRT gibt an, im Oktober 2026 von aktiver Ausnutzung erfahren zu haben; betroffen sei eine begrenzte Zahl von Kunden. Wer hinter den Angriffen steckt und was nach dem Eindringen geschah, hat Cisco nicht offengelegt.
Wer ist betroffen?
Physische und virtuelle Gateways fallen gleichermaßen darunter, aber nur, wenn zwei Einstellungen zusammenkommen: Der Dienst File Reputation muss aktiviert und einer Mail-Policy zugewiesen sein, und die Komponente Content Scanner Tools muss älter als 25.3.0.5525 sein. Die Version lässt sich mit dem CLI-Befehl contentscannerstatus auslesen, das Häkchen „Enable File Reputation“ findet sich unter Mail Policies > Advanced Malware Protection.
Laut Cisco steckt der Fix in Content Scanner Tools 25.3.0.5525 und neuer; das Update dieser Komponente erfordert weder Neustart noch ein vollständiges AsyncOS-Upgrade. Wer lieber ein komplettes Release einspielt, findet bei Cisco AsyncOS 15.5.5-014 und 16.5.0-780 als erste korrigierte Versionen; Kunden auf 16.0 müssen migrieren. Das gehostete Secure Email Cloud Gateway hat Cisco bereits selbst abgesichert und Kunden kontaktiert, bei denen Anzeichen einer Kompromittierung gefunden wurden.
Warum wird das Mail-Gateway immer wieder getroffen?
Es ist die zweite nicht authentifizierte Root-Zero-Day in derselben Produktfamilie innerhalb von etwa einem Monat. Im September schloss Cisco CVE-2026-76461, einen Fehler im E-Mail-Parsing von AsyncOS, und im Januar CVE-2025-20393, eine AsyncOS-Lücke höchster Schwere, über die Angreifer Persistenz einrichteten. Der neue Fehler sitzt an anderer Stelle – im Malware-Scan-Pfad –, der September-Patch hilft also nicht.
Aus Sicht eines Angreifers ist das Muster schlüssig. Ein Mail-Gateway nimmt nicht vertrauenswürdige Eingaben aus dem gesamten Internet an, entpackt und parst komplexe Dateiformate, läuft auf einer Appliance, auf der selten Endpoint Detection installiert ist, und sitzt direkt an sensiblen Mailflüssen. Ausgerechnet die Funktion, die gefährliche Anhänge prüft, wird zur Angriffsfläche. Laut The Register hat CISA seit November 2021 insgesamt 100 Cisco-Schwachstellen in den KEV-Katalog aufgenommen.
Was das für Teams in den USA und der EU bedeutet
Root auf einem Mail-Gateway heißt potenziell Zugriff auf alles, was hindurchläuft: Rechnungen, Verträge, Links zum Zurücksetzen von Passwörtern, Kundenkorrespondenz. Für Unternehmen unter DSGVO, NIS2 oder DORA ist ein ausgenutztes Gateway ein möglicher Datenschutzvorfall, und die Meldefrist beginnt mit Kenntnis. Teams brauchen Nachweise, nicht nur eine gepatchte Versionsnummer: Ciscos eigene Log-Prüfung plus Firewall- und Proxy-Aufzeichnungen über ungewöhnliche Up- oder Downloads der Appliance.
Die zweite Lehre betrifft Patch-Prozesse. Viele Organisationen patchen Appliances nur in Wartungsfenstern für komplette Firmware. Hier ist der Fix eine separat aktualisierte Scanner-Komponente – wer nur die AsyncOS-Version verfolgt, kann ihn übersehen. Inventare für Edge-Security-Geräte sollten Unterkomponenten und Signatur-Engines erfassen, nicht nur den Build des Betriebssystems.
Und schließlich: Zwei Root-Lücken in einem Monat sind ein Anlass, den möglichen Schadensradius zu begrenzen. Wer ausgehende Verbindungen des Gateways einschränkt, die Management-Oberfläche vom Internet fernhält und das Gerät von internen Systemen segmentiert, macht aus der nächsten Zero-Day einen eingedämmten Vorfall statt eines Einbruchs.
Was bedeutet die Lücke für Unternehmen im DACH-Raum?
Gerade im deutschsprachigen Mittelstand, bei Kommunen und in regulierten Branchen laufen E-Mail-Gateways häufig on-premises im eigenen Rechenzentrum statt als Cloud-Dienst – oft bewusst, um die Kontrolle über die Daten zu behalten. Genau diese selbst betriebenen Appliances muss das eigene Team aktualisieren; die Absicherung, die Cisco im gehosteten Cloud Gateway bereits vorgenommen hat, greift dort nicht. Hinzu kommt: Über das Gateway läuft Geschäftskorrespondenz, die nach Handels- und Steuerrecht aufzubewahren ist, und ein kompromittiertes Gerät gefährdet auch die Integrität dieser Archive. Verfolgen Sie zusätzlich die Warnmeldungen des BSI bzw. CERT-Bund zu Cisco-Produkten.
Rechtlich gilt: Konnten Angreifer über das Gateway personenbezogene Daten einsehen, ist nach Art. 33 DSGVO in der Regel binnen 72 Stunden die zuständige Datenschutzaufsicht zu informieren. NIS2-pflichtige Einrichtungen haben zusätzliche Meldepflichten gegenüber dem BSI, Finanzunternehmen unter DORA melden schwerwiegende IKT-Vorfälle an die BaFin. In der Schweiz verlangt das revidierte Datenschutzgesetz eine Meldung an den EDÖB „so rasch als möglich“. Dokumentieren Sie Versionsprüfung, Kompromittierungs-Check und Entscheidung über die Meldung deshalb von Anfang an.
Was diese Woche zu tun ist
- Betroffenheit prüfen. Führen Sie
contentscannerstatusauf jedem Gateway aus und klären Sie, ob File Reputation in irgendeiner Mail-Policy aktiv ist. - Den Scanner aktualisieren. Heben Sie die Content Scanner Tools auf 25.3.0.5525 oder neuer an (ohne Neustart) oder aktualisieren Sie auf AsyncOS 15.5.5-014 / 16.5.0-780.
- Die Kompromittierungsprüfung ausführen. Nutzen Sie wie von Cisco empfohlen
grep "System Security" system_logs; taucht ein Indikator auf, folgen Sie dem Advisory, und wurde der Scan nicht abgeschlossen, eröffnen Sie einen TAC-Fall. - Über das Gerät hinaus schauen. Prüfen Sie Firewall- und Netzwerk-Logs seit Anfang Oktober auf ungewöhnlichen Verkehr von und zur Appliance, denn ein Angreifer mit Root-Rechten kann lokale Spuren löschen.
- Zugänge rotieren und eindämmen. Besteht Verdacht auf Kompromittierung, rotieren Sie Admin- und Integrationszugänge des Gateways und beschränken Sie seinen ausgehenden Zugriff.
Häufige Fragen
Was ist CVE-2026-76519?
CVE-2026-76519 ist eine kritische Schwachstelle (CVSS 9.8) in der Funktion Advanced Malware Protection des Cisco Secure Email Gateway, veröffentlicht am 14. Oktober 2026 im Advisory cisco-sa-esa-afw-zqYJkjxp. Es handelt sich um einen relativen Path Traversal (CWE-23) bei der Verarbeitung von Anhängen: Ein nicht authentifizierter Angreifer kann über einen präparierten Anhang beliebige Dateien schreiben und Befehle als Root ausführen.
Welche Cisco Secure Email Gateways sind verwundbar?
Physische und virtuelle Secure Email Gateways sind betroffen, wenn beide Bedingungen erfüllt sind: Der Dienst File Reputation ist aktiviert und einer Mail-Policy zugewiesen, und die Komponente Content Scanner Tools ist älter als Version 25.3.0.5525. Die Version lässt sich mit dem CLI-Befehl contentscannerstatus prüfen.
Wie behebe ich CVE-2026-76519?
Aktualisieren Sie die Content Scanner Tools auf 25.3.0.5525 oder neuer; laut Cisco sind dafür weder Neustart noch vollständiges Software-Upgrade nötig. Als korrigierte AsyncOS-Releases nennt Cisco zudem 15.5.5-014 und 16.5.0-780; Kunden auf 16.0 müssen auf ein korrigiertes Release migrieren. Einen Workaround gibt es nicht.
Ist CVE-2026-76519 dieselbe Lücke wie die Zero-Day vom September?
Nein. Die September-Lücke CVE-2026-76461 betraf das E-Mail-Parsing von AsyncOS. CVE-2026-76519 sitzt im Malware-Scan-Pfad für Anhänge. Beide verschaffen einem nicht authentifizierten Angreifer per E-Mail Root-Rechte – der Patch für die erste schützt also nicht vor der zweiten.
Muss ein Unternehmen in Deutschland den Vorfall melden?
Das hängt davon ab, ob über das Gateway personenbezogene Daten erreichbar waren. Ist das der Fall, ist nach Art. 33 DSGVO in der Regel binnen 72 Stunden die Datenschutzaufsicht zu informieren; NIS2-pflichtige Einrichtungen haben zusätzliche Meldepflichten gegenüber dem BSI. Dokumentieren Sie Prüfung und Entscheidung in jedem Fall.
Quellen
Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability, cisco-sa-esa-afw-zqYJkjxp (October 14, 2026)
BleepingComputer — Cisco patches new Secure Email Gateway zero-day exploited in attacks (October 14, 2026)
The Register — Cisco make-me-root email bug exploited as a 0-day by unknown crims (October 14, 2026)