Die Schwachstelle in der AsyncOS-Software für Cisco Secure Email Gateway zählt zur schwerwiegendsten Kategorie: CVE-2026-76461 wird mit einem CVSS-Score von 9.8 bewertet. Ursache ist eine unzureichende Validierung in der E-Mail-Parsing-Logik. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine präparierte E-Mail-Nachricht mit bösartigen SQL-Anweisungen über ein betroffenes Gerät versendet", heißt es im Advisory von Cisco. „Eine erfolgreiche Ausnutzung könnte es dem Angreifer erlauben, beliebige SQL-Anweisungen auszuführen, was zur Befehlsausführung mit Root-Rechten auf dem darunterliegenden Betriebssystem führt."
Die Lücke betrifft sowohl Hardware-Appliances als auch virtuelle Instanzen des Secure Email Gateway, und zwar unabhängig von der jeweiligen Gerätekonfiguration. Andere Produkte des Herstellers, darunter Secure Email and Web Manager und Secure Web Appliance, sind laut Cisco nicht angreifbar. Korrigierte Fassungen stehen für die betroffenen AsyncOS-Releases bereit; alternative Gegenmaßnahmen existieren nicht, sodass nur das Update auf eine aktuelle unterstützte Version bleibt.
Cisco gibt an, in diesem Monat Kenntnis von der laufenden Ausnutzung erlangt zu haben, und hat Indikatoren für eine Kompromittierung veröffentlicht. Kunden mit Cisco-Secure-Email-Cloud-Geräten, auf denen bösartige Aktivität festgestellt wurde, habe das Unternehmen direkt kontaktiert. Zum Ausmaß der Angriffe machte der Hersteller keine Angaben.
Besonders heikel ist die Beweislage: „Nach erfolgreicher Ausnutzung dieser Schwachstelle können Angreifer Befehlsausführung mit Root-Rechten erlangen", warnt Cisco. „Wegen dieses Zugriffsniveaus können Spuren der Ausnutzung und Kompromittierungsindikatoren durch die Angreifer entfernt oder verborgen werden." Administratoren sollten daher Netzwerk- und Firewall-Protokolle außerhalb des betroffenen Geräts abgleichen und auf Auffälligkeiten prüfen — etwa unerwartete Uploads vom betroffenen Gerät an externe IP-Adressen oder Downloads von bösartigen IP-Adressen.
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-76461 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen. Zivile US-Bundesbehörden (FCEB) sind damit verpflichtet, die Patches bis zum 17. September 2026 zu installieren.
Nur wenige Tage zuvor hatte Arctic Wolf großangelegte Angriffe auf Zugangsdaten bei aus dem Internet erreichbaren Fortinet-VPN-Appliances gemeldet. Die Aktivität lief Ende August 2026 in zwei anhaltenden Wellen zwischen dem 26. und 28. August über mehrere US-Kundenumgebungen hinweg und erzeugte zweistellige Millionenzahlen an fehlgeschlagenen Anmeldeversuchen.
„Der Akteur verwendete organisationsspezifische Benutzernamen, Firmen-E-Mail-Adressen, Partnerkonten und gängige administrative Identitäten, was auf Zugriff auf zuvor gesammelte oder ermittelte Identitätsinformationen hindeutet", erklärte der Sicherheitsforscher Kyle Siddall. Die gezielte Auswahl von Identitäten statt eines generischen Durchprobierens von Benutzernamen sei ein deutliches Indiz dafür. In einem beobachteten Fall folgte auf eine erfolgreiche Fortinet-VPN-Anmeldung von der IP-Adresse „158.94.211[.]14" bösartige Aktivität in der betroffenen Umgebung.