Cisco hat zu der Zero-Day-Lücke Kompromittierungsindikatoren veröffentlicht und rät Administratoren, die mail_logs jedes Geräts im Cluster auf auffällige SQL-Anweisungen zu prüfen. Weil Angreifer Spuren ihrer Aktivität beseitigen können, empfiehlt der Hersteller zusätzlich einen Abgleich mit Netzwerk- und Firewall-Protokollen – insbesondere mit Blick auf Uploads und Downloads von und zu externen oder als bösartig bekannten IP-Adressen.
Technisch beschreibt Cisco die Schwachstelle als Folge unzureichender Validierung in der E-Mail-Parsing-Logik. „Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine präparierte E-Mail-Nachricht mit bösartigen SQL-Anweisungen über ein betroffenes Gerät versendet", so das Unternehmen. Ein erfolgreicher Angriff erlaube die Ausführung beliebiger SQL-Anweisungen und darüber die Befehlsausführung mit Root-Rechten auf dem zugrundeliegenden Betriebssystem.
Parallel schloss Cisco am Montag vier weitere kritische Schwachstellen, die Appliances vom Typ Secure Email Gateway (SEG) und Secure Email and Web Manager (SEWM) unabhängig von der Konfiguration betreffen: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 und CVE-2026-76443. Für diese vier Lücken liegen dem Hersteller nach eigenen Angaben keine Hinweise auf eine Ausnutzung in freier Wildbahn vor.
Die E-Mail-Sicherheitsprodukte des Herstellers stehen nicht zum ersten Mal im Fokus von Angreifern. Im Januar hatte Cisco eine AsyncOS-Schwachstelle mit maximaler Schwerebewertung (CVE-2025-20393) geschlossen, die seit November 2025 in Zero-Day-Angriffen gegen SEG- und SEWM-Geräte ausgenutzt worden war.
Zuletzt machte Cisco zudem publik, dass drei voneinander unabhängige Gruppen – Ransomware-Akteure ebenso wie staatlich unterstützte Angreifer – zwei kürzlich gepatchte Schwachstellen im Secure Firewall Management Center (FMC) ausgenutzt haben.
Wie stark Cisco-Produkte insgesamt im Visier stehen, zeigt die KEV-Statistik: Seit November 2021 hat die CISA 98 Cisco-Schwachstellen als aktiv ausgenutzt markiert, sieben davon wurden von Ransomware-Banden missbraucht.