Cisco heeft een ernstig lek gedicht in Secure Email Gateway (SEG), in de Advanced Malware Protection‑functie (AMP). Door een fout in de manier waarop AMP e‑mailbijlagen verwerkt wanneer de file reputation‑service is ingeschakeld, kan een externe, niet‑geauthenticeerde aanvaller willekeurige bestanden schrijven op het onderliggende besturingssysteem. In de praktijk kan dat uitmonden in het uitvoeren van commando’s met rootrechten en verlies van systeemintegriteit. Het lek is geregistreerd als CVE-2026-76519 en krijgt een CVSS‑score van 9,8 (critical). Cisco meldde op 14 oktober 2026 dat het misbruik in het wild ziet. Er zijn updates beschikbaar; tijdelijke workarounds ontbreken. (cisco.com)

Wat er misgaat

• De kwetsbaarheid is een relative path traversal (CWE-23) in AMP. Een aanvaller hoeft alleen een speciaal geprepareerde bijlage via een kwetsbaar SEG‑systeem te laten verwerken. Als File Reputation actief is, kan die bijlage misbruikt worden om bestanden te laten wegschrijven en daarna code als root uit te voeren. (cisco.com)

Ben ik kwetsbaar?
Je bent kwetsbaar als je Cisco Secure Email Gateway (fysiek of virtueel) draait met:

• AMP File Reputation ingeschakeld én toegewezen aan een mailpolicy, én
• een Content Scanner Tools‑versie ouder dan 25.3.0.5525. (cisco.com)

Zo controleer je dat snel:

• In de webinterface: Mail Policies > Incoming/Outgoing Mail Policies > Advanced Malware Protection en kijk of “Enable File Reputation” aan staat.
• In de CLI: voer contentscannerstatus uit en controleer de Content Scanner Tools‑versie. (cisco.com)

Beschikbare fixes

• Cisco heeft fixes uitgebracht in AsyncOS (o.a. 15.5.5-014 en 16.5.0-780). Daarnaast is het lek verholpen in Content Scanner Tools 25.3.0.5525 en hoger. Automatische updates voor Content Scanner Tools zetten de patch door zonder herstart; handmatig kan via contentscannerupdate. Voor SEG in de Cisco‑cloud zijn mitigaties al toegepast. (cisco.com)

Actief misbruik en IoC’s

• Cisco bevestigt actief misbruik en publiceert indicatoren van compromis (IoC’s), inclusief logmeldingen waar je gericht op kunt zoeken. Let op: na succesvolle exploit kunnen aanvallers sporen wissen; controleer daarom ook je netwerk- en firewalllogs op ongebruikelijke uploads of downloads. (cisco.com)
• Er is op het moment van schrijven geen publiek beschikbare Proof‑of‑Concept‑code gemeld. Gezien de aard van het lek is het wel aannemelijk dat er op korte termijn PoC’s of exploits opduiken. Het NCSC waarschuwt bij vergelijkbare kwetsbaarheden dat scan‑ en misbruikverkeer vaak snel toeneemt. (bleepingcomputer.com)

Waarom dit ertoe doet

• SEG‑appliances zijn geliefde doelwitten: in 2024 en 2025 werden al kritieke AsyncOS‑lekken misbruikt om root‑toegang te krijgen en backdoors te plaatsen. Dat onderstreept hoe snel misbruik kan volgen na publicatie. (bleepingcomputer.com)
• Publiek bereikbare SEG’s vormen extra risico: security‑onderzoekers zien wereldwijd honderden exemplaren aan het internet hangen, wat het aanvalsoppervlak vergroot. (bleepingcomputer.com)

Direct doen (korte checklist)

• Patchen: update naar een vaste AsyncOS‑release (bijv. 16.5.0‑780 of 15.5.5‑014) en/of zorg dat Content Scanner Tools minimaal op 25.3.0.5525 staat. (cisco.com)
• Controleren: doorzoek system_logs op de door Cisco beschreven meldingen en check netwerk-/firewalllogs op afwijkende verkeerstromen. (cisco.com)
• Hardenen: beperk beheer­toegang tot vertrouwde hosts, splits beheer- en mailinterfaces, schakel ongebruikte services (zoals HTTP/FTP) uit, en zet logging extern weg voor forensisch onderzoek. (cisco.com)
• Cloudklanten: Cisco heeft mitigaties uitgerold; volg eventuele instructies die je rechtstreeks van Cisco ontvangt. (cisco.com)

Kernpunten op een rij

• Product: Cisco Secure Email Gateway (AsyncOS) met AMP File Reputation.
• Kwetsbaarheid: CVE-2026-76519 (relative path traversal) leidt tot bestandsschrijfacties en root‑RCE.
• Impact: volledige compromittering van het appliance.
• Status: actief misbruikt; updates beschikbaar; geen workarounds.
• Actie: patchen of Content Scanner Tools updaten; logs controleren; omgeving hardenen. (cisco.com)

Bronnen

• Cisco Security Advisory: Secure Email Gateway Arbitrary File Write Vulnerability (gepubliceerd 14 oktober 2026). (cisco.com)
• BleepingComputer: Cisco patches new Secure Email Gateway zero-day exploited in attacks (achtergrond en zicht op blootgestelde systemen). (bleepingcomputer.com)
• Cisco PSIRT-rapportage over eerdere SEG‑aanvallen (context). (cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.