Cisco waarschuwt voor actieve aanvallen die een kritieke fout in Cisco Secure Email Gateway misbruiken. De impact is groot: een aanvaller die een speciaal vervaardigde e-mail via de gateway stuurt, kan bestanden wegschrijven naar het systeem en vervolgens commando’s als root uitvoeren.
In deze update lees je wat er precies nodig is om kwetsbaar te zijn, hoe je de status van jouw toestel controleert en welke stappen Cisco adviseert als er tekenen van compromis zijn.
Wat is er aan de hand met Cisco Secure Email Gateway?
De kwetsbaarheid zit in de wijze waarop de beveiligde e-mailgateway omgaat met bijlagen. Aanvallers sturen een e-mail met een geconstrueerde attachment via de gateway. Als het misbruik lukt, kan de aanvaller daarna commando’s uitvoeren met root-rechten.
De storing raakt vooral de beveiligingslogica waarmee e-mail wordt geanalyseerd op onder meer spam en malware. Cisco noemt het probleem CVE-2026-76519 met een CVSS-score van 9.8.
Wanneer ben je kwetsbaar (voorwaarden in twee lagen)
Volgens Cisco gelden twee voorwaarden tegelijk. Alleen als beide van toepassing zijn, is er sprake van blootstelling.
- File Reputation moet ingeschakeld zijn. Dit is onderdeel van de Advanced Malware Protection (AMP)-functionaliteit voor het verwerken van bijlagen. Daarnaast moet File Reputation aan een mailbeleid zijn toegewezen.
- De Content Scanner Tools-versie moet ouder zijn dan 25.3.0.5525.
Let op: Cisco vermeldt dat fysieke en virtuele gateways op kwetsbare AsyncOS-releases beïnvloed worden. Secure Email and Web Manager en Secure Web Appliance vallen niet onder deze impact.
Welke updates fixen het probleem?
De benodigde fix is al geruime tijd beschikbaar. Cisco geeft aan dat de verhelzing sinds 14 september werd meegeleverd in de relevante AsyncOS-builds:
- AsyncOS 15.5: 15.5.5-014
- AsyncOS 16.5: 16.5.0-780
Voor het speed-run scenario ligt de nadruk op de scannerupdate. De Content Scanner Tools krijgen namelijk ook een update. Deze installert zonder software-upgrade en zonder herstart, mits je naar versie 25.3.0.5525 of later gaat.
Als je automatische Content Scanner Tools-updates aan hebt staan, is er meestal geen actie nodig nadat de update is doorgekomen. Controleer dan wel met de statuscommand.
Wat moet je doen als je Content Scanner Tools niet automatisch bijwerkt?
Cisco noemt twee routes:
- Handmatig via de CLI met contentscannerupdate
- Of automatische updates inschakelen onder Security Services > Service Updates
Controleer of jouw gateway blootgesteld is
Voordat je migreert of herstelt, wil je de kwetsbaarheidsvoorwaarden scherp hebben. Cisco geeft hiervoor concrete checks.
Check 1: staat File Reputation aan?
Controleer in de beheerinterface onder:
- Mail Policies > Incoming Mail Policies > Advanced Malware Protection
- of dezelfde route onder Outgoing Mail Policies
Kies daarna het relevante mailbeleid en kijk of Enable File Reputation aangevinkt staat.
Check 2: welke Content Scanner Tools-versie draait er?
Gebruik via de CLI het commando contentscannerstatus. Daarmee zie je niet alleen welke versie actief is, maar ook wanneer de scanner voor het laatst is bijgewerkt.
Ga daarbij uit van de eis: 25.3.0.5525 of later.
Zo check je tekenen van compromis
Cisco publiceert een korte controlemethode op het toestel zelf: één command waarmee je aanwijzingen voor misbruik kunt terugvinden. Het advies is om dit op elk cluster-lid uit te voeren.
De commandoregel
Run:
grep “System Security” system_logs
Afhankelijk van de output zie je één van deze situaties:
- Compromise detected: verdachte indicator gevonden. Neem contact op met TAC en volg herstelstappen.
- Security scan did not complete: de scan is niet voltooid. Neem contact op met TAC.
- No compromise detected: geen indicator gevonden. Toch geldt: upgrade als het toestel op een getroffen release draait.
Belangrijk: Cisco waarschuwt dat een schone uitkomst niet als bewijs van onbesmetheid moet worden gezien. Een aanvaller met root kan sporen verwijderen of maskeren.
Daarom adviseert Cisco daarnaast ook te kijken naar firewall- en netwerklogs buiten de appliance, bijvoorbeeld op onverwachte uploads naar externe IP-adressen of downloads van verdachte bronnen.
Als er wel compromis is: herstel zonder het verkeerde te doen
Is er sprake van tekenen van misbruik, dan is de aanpak afhankelijk van het type appliance.
Fysieke appliances
Cisco vraagt klanten om contact op te nemen met TAC en remote toegang te activeren zodat engineers verder onderzoek kunnen doen.
Virtuele appliances: stap-voor-stap volgens Cisco
Cisco’s volgorde is stevig en praktisch, met veel nadruk op forensics:
- Bewaar eerst forensische data. Een upgrade van een gecompromitteerde instance vernietigt logs en bewijsmateriaal.
- Implementeer een nieuw virtueel toestel op een fixed release.
- Bouw de configuratie opnieuw, zonder een eerder configuratiebestand te importeren.
- Vernieuw credentials en cryptografisch materiaal en blijf daarna ongebruikelijk gedrag monitoren.
Bij clusters raadt Cisco aan om elk cluster-lid te herstellen wanneer ten minste één appliance gecompromitteerd is. Reden: clusterleden authenticeren onderling via SSH key pairs. Als een lid gecompromitteerd is, kunnen private keys ook toegang tot andere leden geven.
Er is meer: eerder misbruik in dezelfde periode
Dit is niet de eerste Secure Email Gateway kwetsbaarheid die Cisco in korte tijd bevestigt als actief misbruikt. In september werd een SQL-injection fout bekend (CVE-2026-76461) die een onbevoegde afzender in staat kon stellen om via een bewerkt e-mailbericht opdrachten als root uit te voeren.
Cisco koppelt beide issues niet direct aan elkaar. Ze zitten volgens Cisco in verschillende delen van het product en volgen ook andere sporen in logs.
Verder noemt Cisco dat in een hardening release issues zijn gebundeld onder meerdere CVE’s op basis van zwakteklassen. Cisco meldt daarbij expliciet dat twee onderdelen bekend zijn als actief geëxploiteerd: de file-write fout (pad traversal klasse) en de September SQL-injection fout.
Waarom snelle actie nu belangrijk is
Omdat de kwetsbaarheid actief wordt misbruikt, is tijd een doorslaggevende factor. De grootste winst haal je uit twee dingen tegelijk: de Content Scanner Tools updaten naar een veilige versie en de kwetsbaarheidsvoorwaarden in je mailbeleid controleren.
Als je niet kunt bevestigen dat je scannerupdate is doorgekomen, ga dan niet uit van geluk: Cisco geeft een CLI-check om je versie te verifiëren.
Praktische next steps voor IT- en securityteams
Wil je vandaag nog grip krijgen op de situatie rond Cisco Secure Email Gateway? Dit zijn concrete acties:
- Controleer of File Reputation aan een mail policy is gekoppeld.
- Verifieer de Content Scanner Tools-versie met contentscannerstatus.
- Voer de compromissatcheck uit via de grep-regel op alle clusterleden.
- Check daarnaast externe netwerkactiviteiten in firewall- en netwerklogs.
- Bij tekenen van compromis: volg de herstelroute zoals Cisco beschrijft (forensics eerst, rebuild, renew credentials).
Voor teams die hun aanpak voor e-mail- en identiteit-gerelateerde beveiliging willen aanscherpen, kan ook een bredere Zero Trust-benadering helpen. Zie bijvoorbeeld Zero Trust en identity security: strategieën in 2026.
Conclusie
Cisco’s waarschuwing draait om een kwetsbaarheid in Cisco Secure Email Gateway die aanvallers gebruiken om via e-mail als root commando’s te draaien. De blootstelling hangt af van twee voorwaarden: File Reputation (AMP) moet aan staan binnen het juiste mailbeleid, en de Content Scanner Tools-versie moet ouder zijn dan 25.3.0.5525.
Update bij voorkeur via de scannerroute, controleer daarna met de statuscommand en voer bij voorkeur ook de compromise-check uit. Ben je verdacht: pak forensics eerst, bouw opnieuw en vernieuw credentials om herhaling te voorkomen.
Bron: https://thehackernews.com/2026/10/cisco-warns-of-active-attacks.html
