Das Wichtigste in Kürze
- CVE-2026-76461 steckt im Cisco Secure Email Gateway und ist mit CVSS 9,8 bewertet — knapp unter dem Maximum.
- Eine einzige präparierte E-Mail reicht. Der Angreifer braucht kein Passwort, kein Konto, keinen Klick von dir.
- Cisco veröffentlichte das Advisory am 14. September 2026. Die US-Behörde CISA setzte die Lücke noch am selben Tag auf ihre Liste der aktiv ausgenutzten Schwachstellen.
- Repariert ist sie in 15.5.5-014, 16.0.4-302 und 16.5.0-780. Alles darunter ist offen.
SCHOCK: Der Angriff kommt durch die Vordertür
Ein Mailgateway hat genau einen Job: Es nimmt E-Mails aus dem Internet an, bevor sie deine Postfächer erreichen. Genau das wird ihm jetzt zum Verhängnis.
In der Verarbeitung eingehender E-Mails von Ciscos AsyncOS-Software steckt eine SQL-Injection. Im Klartext: Der Angreifer schreibt Datenbankbefehle in eine ganz normale E-Mail. Das Gateway liest die Nachricht, um sie zu prüfen — und führt die Befehle dabei aus.
Das Ergebnis ist kein harmloser Datenbankzugriff. Über den Umweg der Datenbank lassen sich Betriebssystembefehle mit Root-Rechten ausführen. Root heißt: ALLES. Mitlesen, umleiten, Konten anlegen, Protokolle fälschen.
Und das Schlimmste: Es gibt keine Konfiguration, die dich schützt. Cisco schreibt ausdrücklich, dass die Lücke unabhängig von den Einstellungen des Geräts greift — physische Appliance wie virtuelle Instanz.
GEFAHR! Das hier ist kein Theoriepapier
Viele Meldungen drehen sich um Lücken, für die es irgendwann vielleicht mal einen Angriff gibt. Diese hier ist anders.
Ciscos eigenes Sicherheitsteam PSIRT wurde auf die Lücke aufmerksam, weil sie bereits angegriffen wurde. Es handelt sich also um einen Zero-Day: Erst der Angriff, dann der Patch. Dass die CISA die Schwachstelle noch am Tag des Advisories in ihren Katalog aufnahm, ist die behördliche Bestätigung dafür — dort landen ausschließlich Lücken, für die eine Ausnutzung belegt ist.
Betroffen sind laut Cisco die Versionslinien 15.5 und älter, 16.0 und 16.5.
So prüfst du dein Gateway in 10 MINUTEN
Du musst kein Cisco-Spezialist sein, um die wichtigsten Schritte abzuarbeiten:
- Version auslesen. In der Kommandozeile der Appliance zeigt dir
versionden aktuellen Stand von AsyncOS. Notiere ihn, bevor du irgendetwas anfasst. - Mit den Fix-Ständen vergleichen. Liegst du unter 15.5.5-014, 16.0.4-302 oder 16.5.0-780, bist du angreifbar. Bleib in deiner eigenen Versionslinie, statt quer zu springen.
- Zuerst die Geräte am Internet. Wenn du mehrere Gateways betreibst, patche die, die Mails direkt von draußen annehmen — das sind die verwundbaren.
- Danach Spuren suchen. Neue Administratorkonten, geänderte Weiterleitungsregeln, unerklärliche Neustarts, Lücken in den Protokollen. Wer Root hatte, hinterlässt selten etwas Offensichtliches, aber Regeländerungen fallen auf.
- Zugangsdaten tauschen. Ist ein Gerät nachweislich kompromittiert, sind alle darauf gespeicherten Anmeldedaten und Schlüssel verbrannt. Neu setzen, nicht hoffen.
EXTRA-TIPP: Warum ausgerechnet Mailgateways?
Sicherheits-Appliances stehen per Definition am Rand des Netzes und nehmen unaufgefordert Daten von Fremden an. Sie sind deshalb ein Dauerziel — und oft schlechter überwacht als ein normaler Server, weil sie als „fertige Box“ gelten.
Für dein eigenes Setup heißt das: Auch Geräte, die Sicherheit liefern sollen, gehören ins Patch-Management, ins Monitoring und hinter eine Netzsegmentierung. Ein Gateway, das ins interne Netz durchgreifen darf, ist im Ernstfall ein Brückenkopf.
FAZIT: Heute, nicht nächste Woche
Aktiv ausgenutzt, ohne Anmeldung, mit Root am Ende und ohne schützende Einstellung — deutlicher geht eine Dringlichkeitsstufe nicht. Wer ein Cisco Secure Email Gateway betreibt, sollte den Patch-Stand JETZT prüfen. Ein öffentlich verfügbarer Beispiel-Exploit ist bislang nicht dokumentiert; angesichts der bestätigten Angriffe ist das aber kein Grund zum Abwarten.
Häufige Fragen
Bin ich betroffen, wenn ich kein Cisco-Gateway nutze?
Nein. Die Lücke betrifft ausschließlich Ciscos Secure Email Gateway mit AsyncOS. Andere Mailserver wie Postfix, Exchange oder Mailcow sind von CVE-2026-76461 nicht berührt.
Reicht es, verdächtige Absender zu blockieren?
Nein. Die Schwachstelle liegt in der Verarbeitung der Nachricht selbst. Das Gateway muss die Mail erst einlesen, um sie zu bewerten — genau dabei wird der eingeschleuste Code wirksam. Filterregeln greifen zu spät.
Was bedeutet CVSS 9,8 konkret?
Der Wert fasst zusammen, wie leicht und wie folgenreich eine Lücke ist. 9,8 steht für: über das Netz erreichbar, keine Anmeldung nötig, keine Nutzerinteraktion, vollständige Übernahme möglich. Höher geht praktisch nur noch 10,0.
Muss ich nach dem Update noch etwas tun?
Ja. Der Patch schließt die Tür, räumt aber nicht auf. Prüfe Administratorkonten, Weiterleitungs- und Filterregeln sowie die Protokolle der vergangenen Wochen. Bei Auffälligkeiten gehören Zugangsdaten und Schlüssel erneuert.
Quellen
- Rapid7: ETR: CVE-2026-76461 Critical Cisco Secure Email Gateway Vulnerability Exploited in the Wild
- Help Net Security: Cisco patches actively exploited email gateway zero-day (CVE-2026-76461), 15.09.2026
- CyCognito: Emerging Threat: CVE-2026-76461 Cisco Secure Email Gateway Root RCE via Email Parsing