Cisco Secure Email Gateway kritiek lek (CVSS 9,8) actief misbruikt

Cisco heeft een kritiek beveiligingslek in Secure Email Gateway bevestigd dat aanvallers al actief misbruiken. Het lek, geregistreerd als CVE-2026-76461, heeft een CVSS-score van 9,8 op een schaal tot 10 en stelt een aanvaller in staat om zonder inloggegevens volledige controle over het apparaat te krijgen. Dat melden The Hacker News, BleepingComputer en SecurityWeek, die zich baseren op het eigen beveiligingsbulletin van Cisco.

Eén e-mail is genoeg

Het probleem zit in de manier waarop AsyncOS, de software achter Secure Email Gateway, binnenkomende e-mail verwerkt. Door onvoldoende validatie in die verwerkingslogica kan een aanvaller een speciaal geprepareerd e-mailbericht sturen met daarin kwaadaardige SQL-statements. Het apparaat verwerkt die invoer verkeerd, waardoor de aanvaller willekeurige SQL-opdrachten kan laten uitvoeren. Dat leidt vervolgens tot het uitvoeren van commando's met rootrechten op het onderliggende besturingssysteem, de hoogste rechten die een systeem kent. Een aanvaller hoeft dus niet in te loggen en heeft ook geen enkele actie van een gebruiker nodig: het versturen van één kwaadaardige e-mail volstaat.

Het lek treft zowel fysieke als virtuele Secure Email Gateway-apparaten, ongeacht hoe het apparaat verder is geconfigureerd. Twee verwante producten, Secure Email and Web Manager en Secure Web Appliance, zijn volgens Cisco niet kwetsbaar voor dit specifieke lek.

Al in gebruik bij aanvallers

Cisco's eigen beveiligingsteam (Cisco PSIRT) ontdekte in september dat het lek al actief werd misbruikt, nog voordat er een patch beschikbaar was. Cisco heeft geen tijdelijke workaround voor het probleem en adviseert klanten dringend om te updaten naar een gerepareerde versie van AsyncOS, bijvoorbeeld release 16.5.0-780.

De Amerikaanse cyberbeveiligingsdienst CISA plaatste CVE-2026-76461 op maandag 14 september op de Known Exploited Vulnerabilities-lijst (KEV), de catalogus van lekken waarvan bevestigd is dat ze in de praktijk worden misbruikt. Amerikaanse federale overheidsinstanties moeten hun systemen voor 17 september gepatcht hebben. Die deadline geldt formeel alleen voor de Amerikaanse overheid, maar een plek op de KEV-lijst is doorgaans een duidelijk signaal dat ieder bedrijf met een kwetsbaar apparaat snel moet patchen, omdat de kans op misbruik dan al bewezen aanwezig is.

Cisco bracht dezelfde maandag ook patches uit voor vier andere kritieke kwetsbaarheden in Secure Email Gateway en Secure Email and Web Manager, met de kenmerken CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 en CVE-2026-76443. Voor die vier lekken heeft Cisco vooralsnog geen aanwijzingen gevonden dat ze al worden misbruikt.

Het is niet de eerste keer deze maand dat Cisco-apparatuur in het nieuws komt: begin september waarschuwde Infotrends al over een kritiek lek in Cisco Secure Firewall Management Center dat eveneens op de KEV-lijst belandde.

Wat dit betekent voor jouw bedrijf

Secure Email Gateway is vooral in gebruik bij grotere organisaties en IT-leveranciers die hun eigen e-mailverkeer filteren op spam, phishing en malware. Werkt jouw bedrijf met een externe IT-partij of hosting- en e-mailleverancier, dan is dit een goed moment om na te vragen of zij dit soort apparaten gebruiken en of de patch al is doorgevoerd. Een lek waarmee een aanvaller met rootrechten binnenkomt via het e-mailkanaal is namelijk precies het soort risico dat verder reikt dan alleen de mailbox: vanaf een gecompromitteerd apparaat kan een aanvaller doorstappen naar andere systemen in het netwerk.

Ook als je zelf geen Cisco-apparatuur beheert, laat dit incident nog eens zien hoe belangrijk het is dat updates voor beveiligingssoftware snel worden doorgevoerd, juist omdat aanvallers regelmatig al misbruik maken van een lek voordat het algemeen bekend is. Wil je niet zelf dit soort meldingen hoeven bij te houden voor jouw website en systemen? De dienst website-onderhoud en beheer van Infotrends houdt dit soort kwetsbaarheden voor je in de gaten en zorgt dat updates op tijd worden doorgevoerd.

Meer beveiligingsnieuws over kritieke lekken en updates vind je op onze nieuwspagina.

Bronnen: The Hacker News, BleepingComputer en SecurityWeek.