Cisco hat zu der Schwachstelle Kompromittierungsindikatoren (IoCs) veröffentlicht, zugleich aber eingeschränkt, wie belastbar diese sind: Weil Angreifer auf dem Gerät Root-Rechte erlangen können, sind sie in der Lage, Spuren zu entfernen oder zu verbergen. Für Verteidiger bedeutet das, dass ein unauffälliger Befund eine Kompromittierung nicht sicher ausschließt.
Technisch handelt es sich um einen Fehler beim Parsen von E-Mails in der AsyncOS-Software. Angreifer senden eine eigens gestaltete Nachricht an einen Nutzer des betroffenen Systems und bringen darüber schädliche SQL-Anweisungen zur Ausführung. Da keine Anmeldedaten nötig sind und die Ausführung mit Root-Rechten auf dem Betriebssystem erfolgt, ergibt sich die Einstufung mit dem CVSS-Wert 9.8.
Die Aufnahme in den KEV-Katalog der CISA erfolgte am selben Tag wie Ciscos Warnung. US-Bundesbehörden müssen bis zum 17. September reagieren. Es ist erst die zweite Schwachstelle im Secure Email Gateway, die es in diese Liste geschafft hat. Vorgänger war CVE-2025-20393, die laut den vorliegenden Angaben ab Ende 2025 von mit China in Verbindung gebrachten Angreifern ausgenutzt wurde.
CVE-2026-76461 gehört zu einer Reihe von Schwachstellen, die Cisco intern in den Produkten Secure Email Gateway und Secure Email and Web Manager gefunden hat. Dass ausgerechnet eine selbst entdeckte Lücke bereits angegriffen wird, verschärft den Zeitdruck für Betreiber, da eine Ausnutzung offenbar parallel zur internen Aufarbeitung lief.
Die Meldung folgt nur wenige Tage auf eine gemeinsame Warnung von Cisco und CISA zu Angriffen auf das Secure Firewall Management Center (FMC). Dort geht es um CVE-2026-20079, eine bereits früher im Jahr offengelegte Schwachstelle, sowie um die ebenfalls im FMC steckende Lücke CVE-2026-20316. Beide werden nach Angaben von Cisco sowohl von staatlich unterstützten russischen Akteuren als auch von gewinnorientierten Cyberkriminellen ausgenutzt.
Damit stehen derzeit gleich mehrere Produktlinien des Herstellers im Fokus aktiver Angriffskampagnen: die E-Mail-Sicherheitsappliances auf der einen, die Firewall-Verwaltung auf der anderen Seite. Zu den Angreifern hinter dem E-Mail-Gateway-Zero-Day hat Cisco bislang keine Zuordnung vorgenommen und auch keine Details zum Ablauf oder zum Umfang der beobachteten Angriffe mitgeteilt.