Cisco heeft een waarschuwing uitgegeven omdat aanvallers actief misbruik zouden maken van een kritieke kwetsbaarheid in Cisco Secure Email Gateway. De fout is bijzonder ernstig: een aanvaller die geen login heeft, kan via een speciaal vervaardigde e-mailbijlage bestanden wegschrijven op de appliance. Bij succes kan dat leiden tot het uitvoeren van commando’s met root-rechten.
In dit artikel lees je wat er precies kwetsbaar is, wanneer jouw omgeving mogelijk geraakt wordt, hoe je dit kunt controleren en welke stappen Cisco adviseert voor herstel.
Wat maakt de kwetsbaarheid in Cisco Secure Email Gateway zo gevaarlijk?
De kwetsbaarheid is door Cisco vastgesteld als CVE-2026-76519 met een CVSS-score van 9.8. Volgens de advisory werkt de aanval via de e-mailgateway: de aanvaller stuurt een e-mail met een aangepaste attachment door de gateway. Als de appliance de attachment verwerkt op een specifieke manier, kan de aanvaller daarna commando’s laten draaien als root.
Het gaat om een product dat e-mail scant op onder meer spam en malware. Juist die functionaliteit en de configuratie eromheen bepalen of je in de gevarenzone zit.
Voor wie geldt het risico? (twee voorwaarden tegelijk)
Niet elke Secure Email Gateway is automatisch kwetsbaar. Cisco benadrukt dat beide voorwaarden samen moeten kloppen:
- File Reputation moet ingeschakeld zijn. Dit is onderdeel van de Advanced Malware Protection (AMP)-functionaliteit voor het verwerken van bijlagen, en het moet toegewezen zijn aan een mail policy.
- De Content Scanner Tools-versie moet ouder zijn dan 25.3.0.5525.
Daarnaast stelt Cisco dat zowel fysieke als virtuele gateways op bepaalde AsyncOS-releases betroffen kunnen zijn.
Niet alles binnen het Cisco Secure Email-ecosysteem valt eronder: Secure Email and Web Manager en Secure Web Appliance worden niet genoemd als onderdeel van deze kwetsbaarheid.
Is jouw toestel kwetsbaar? Zo controleer je de voorwaarden
Om te bepalen of jouw omgeving mogelijk getroffen is, kun je volgens Cisco twee dingen controleren: de beleidsinstelling voor File Reputation en de versie van Content Scanner Tools.
1) Controleer File Reputation in mail policies
Ga in de beheerinterface naar:
- Mail Policies > Incoming Mail Policies > Advanced Malware Protection
- of (voor uitgaand) dezelfde route onder Outgoing Mail Policies
Kies vervolgens een mail policy en check of de optie Enable File Reputation is aangevinkt. Staat dit niet aan, dan vallen de twee voorwaarden niet samen.
2) Controleer de Content Scanner Tools-versie via CLI
Voor de tweede voorwaarde adviseert Cisco de volgende CLI-opdracht:
contentscannerstatus
De output laat zien welke versie actief is en wanneer die voor het laatst is bijgewerkt. Daarmee kun je direct vaststellen of je onder de grens van 25.3.0.5525 zit.
De snelste fix: Content Scanner Tools updaten
De meest praktische route is volgens Cisco de update van Content Scanner Tools. Voor gateways met automatische updates aan, geldt dat je doorgaans geen extra actie hoeft te ondernemen zodra de update is toegepast.
Wel adviseert Cisco om niet te vertrouwen op aannames: bevestig met contentscannerstatus dat je daadwerkelijk op 25.3.0.5525 of later zit.
Als automatische updates uit staan, heb je twee opties:
- Voer in de CLI contentscannerupdate uit, of
- zet updates aan via Security Services > Service Updates.
AsyncOS-fix: welke builds zijn door Cisco gemarkeerd?
Cisco noemt naast de scannerupdate ook vaste AsyncOS-builds. Hieronder staat wat in de advisory als “fixed” wordt genoemd:
- 15.5: 15.5.5-014
- 16.5: 16.5.0-780
- 16.0: Cisco geeft aan dat er geen fixed build is. In dat geval moet je migreren naar een fixed release.
Voor 16.0-toestellen kan de scannerupdate alleen uitkomst bieden als je kijkt naar wat contentscannerstatus toont; de advisory vermeldt niet welke releases exact als gelicentieerd en ondersteund gelden voor de scannerupdate.
Geen workaround, wel een duidelijke herstelstrategie
Cisco geeft aan dat er geen workaround is. Dat betekent dat mitigatie vooral neerkomt op patching én het beoordelen van mogelijke compromise.
Bij een virtuele appliance met aanwijzingen van misbruik adviseert Cisco bovendien een strikte aanpak: upgraden van een gecompromitteerde instance zou volgens de guidance forensische data en logs vernietigen. Daarom moet je eerst denken aan behoud van bewijs en pas daarna aan herstel.
Check op mogelijke compromise: de ene command
Om te onderzoeken of er pogingen tot uitbuiting zijn gedaan, adviseert Cisco één command op de appliance:
grep "System Security" system_logs
De appliance geeft dan één van drie meldingen:
- Compromise detected: “Suspected compromise indicator was found. Contact TAC for further recommendations.”
- Scan niet voltooid: “Security scan did not complete. Contact TAC for further recommendations.”
- Geen indicator gevonden: “No compromise indicator was found. No compromise detected by this check.”
Belangrijk: een “schone” uitkomst is geen bewijs dat er niets aan de hand is. Als een aanvaller root-toegang heeft, kan hij sporen verbergen of verwijderen. Controleer daarom ook logbestanden buiten de appliance, zoals firewall- en netwerklogs voor onverwachte uploads naar externe IP-adressen of downloads van verdachte herkomst.
Wat als je bewijs ziet? Aanpak voor fysieke en virtuele gateways
Wanneer Cisco aanwijzingen ziet dat er mogelijk sprake is van aantasting, vraagt men klanten om contact op te nemen met TAC en om herstel uit te voeren op basis van type appliance.
Fysieke appliance
Voor fysieke systemen vraagt Cisco om contact met TAC en om remote access mogelijk te maken zodat engineers het kunnen onderzoeken.
Virtuele appliance
Voor virtuele gateways adviseert Cisco een herstelstappenplan dat begint bij het veiligstellen van bewijs:
- Preserve forensic data vóór je upgraden uitvoert.
- Implementeer een nieuw virtueel systeem op een fixed release.
- Bouw de configuratie opnieuw, zonder eerdere configuratiebestanden te importeren.
- Vernieuw credentials en cryptografisch materiaal en blijf gedrag monitoren op afwijkingen.
Als je gateway onderdeel is van een cluster, benadrukt Cisco dat leden onderling authenticeren via SSH-keyparen. Als één clusterlid gecompromitteerd is, kunnen private keys toegang tot andere leden geven. In dat scenario is de guidance om alle clusterleden te herstellen, zolang de cluster ten minste één gecompromitteerde appliance bevat.
Extra context: eerdere Secure Email Gateway-aanval in september
Deze waarschuwing komt niet uit de lucht vallen. Cisco bevestigde eerder, op 14 september, ook een probleem onder actieve aanvallen: CVE-2026-76461. Dat was een SQL-injectie in het e-mailparsergedeelte, waardoor een niet-gelooide afzender commando’s als root kon uitvoeren met een speciaal gemaakte e-mail.
Cisco stelt dat de twee kwetsbaarheden in verschillende delen van het softwarepad zitten en dat de advisories verschillende logchecks vereisen. Ook is er geen directe koppeling gemaakt tussen beide aanvallen.
Op de dag van de September disclosure werden hardening releases uitgebracht en werden intern gevonden bugs in enkele “umbrella” CVE’s gegroepeerd. Cisco geeft in de huidige advisory aan dat inmiddels ook is vastgesteld dat twee van die eerder gegroepeerde problemen bekend zijn als actief uitgebuit: de file-write fout (in dezelfde kwetsbaarheidsklasse als path traversal) en de genoemde SQL-injectie.
Praktisch stappenplan voor administrators
- Check File Reputation per relevante mail policy (incoming én/of outgoing, afhankelijk van je gebruik).
- Controleer Content Scanner Tools met contentscannerstatus.
- Update direct naar 25.3.0.5525 of later (via automatische updates of handmatig met contentscannerupdate).
- Als je op een getroffen AsyncOS-build zit, plan dan ook de AsyncOS-fix (bijv. 15.5.5-014 of 16.5.0-780).
- Voer de compromise-check uit met de grep-opdracht en beoordeel aanvullende logs buiten de gateway.
- Zie je tekenen van compromis? Start herstel volgens Cisco’s advies: bij virtuele appliances eerst forensics bewaren en daarna rebuild.
Wil je ook bredere context over patching en actief misbruik? Dan kan het helpen om te kijken naar recente updates en advisories in andere omgevingen, zoals deze analyse van Ivanti Connect Secure: keten van 3 zero-days.
Conclusie
Cisco Secure Email Gateway wordt door de fabrikant aangemerkt als doelwit van actieve aanvallen. De kern van het probleem is CVE-2026-76519, waarbij een aanvaller zonder login via een crafted attachment bestanden kan wegschrijven en bij succes commando’s als root kan uitvoeren.
Het goede nieuws: met de juiste controles en snelle update naar Content Scanner Tools 25.3.0.5525 of later kun je het risico beperken. Tegelijk vraagt Cisco om waakzaamheid: voer de compromise-check uit en kijk verder dan alleen de resultaten op de appliance, zeker wanneer forensisch onderzoek nodig is.
Bron: https://thehackernews.com/2026/10/cisco-warns-of-active-attacks.html
1 reactie