Lek in Cisco Secure Email Gateway maakt uitvoeren van opdrachten als root mogelijk

Wat is er gebeurd

De nieuw bekendgemaakte Cisco-kwetsbaarheid, met kenmerk CVE-2026-76519, zit in de component voor malwarescanning van het e-mailproduct, bekend als AMP (Advanced Malware Protection). Het probleem is een relatieve path traversal-zwakte (CWE-23) in de manier waarop het product e-mailbijlagen verwerkt wanneer de bestandsreputatiedienst is ingeschakeld.

Een aanvaller zonder inloggegevens kan het lek op afstand activeren door simpelweg een speciaal vervaardigde bijlage door een kwetsbare gateway te laten gaan. Bij succes kan de aanvaller willekeurige bestanden op het onderliggende besturingssysteem plaatsen en daar opdrachten uitvoeren met rootrechten.

Cisco publiceerde advisory cisco-sa-esa-afw-zqYJkjxp op 2026-10-14. Dezelfde dag voegde CISA het lek toe aan de catalogus Known Exploited Vulnerabilities, wat betekent dat het actief wordt misbruikt. Gebruik door ransomware is niet bekend.

Wie is getroffen

Het lek treft Cisco Secure Email Gateway met Cisco AsyncOS in twee versiebereiken: 15.0 tot maar niet inclusief 15.5.5-014, en 16.0 tot maar niet inclusief 16.5.0-780. Volgens de beschrijving wordt het kwetsbare codepad bereikt wanneer de bestandsreputatiedienst van de AMP-functie is ingeschakeld. Organisaties die deze releases draaien op mailgateways die vanaf internet bereikbaar zijn, moeten het probleem als urgent beschouwen.

Hoe ernstig is het

Het lek heeft een CVSS 3.1-basisscore van 9.8 en is beoordeeld als kritiek. Het kan via het netwerk worden misbruikt met lage complexiteit, zonder rechten en zonder gebruikersinteractie, en een geslaagde aanval geeft volledige controle over het apparaat op rootniveau.

Misbruik is bevestigd: CISA vermeldt de kwetsbaarheid in de catalogus Known Exploited Vulnerabilities en stelde voor federale instanties een uiterste hersteldatum van 2026-10-17 vast. De EPSS-score, een schatting van de kans op misbruik, is 0.06227. Omdat e-mailgateways van nature mail van buiten de organisatie verwerken, is de blootstelling groot.

Wat moet u doen

1. 1Bekijk Cisco-advisory cisco-sa-esa-afw-zqYJkjxp en installeer de daarin genoemde gepatchte AsyncOS-release voor uw versielijn.
2. 2Breng alle Secure Email Gateway-appliances in kaart waarop AsyncOS 15.0 draait vóór 15.5.5-014 of 16.0 vóór 16.5.0-780.
3. 3Controleer op elk getroffen apparaat of de AMP-bestandsreputatiedienst is ingeschakeld.
4. 4Pas de mitigaties van Cisco toe als u niet direct kunt updaten, zoals de vereiste actie van CISA voorschrijft.
5. 5Onderzoek getroffen gateways op tekenen van compromittering, aangezien het lek actief wordt misbruikt.

Kerngegevens