Cisco heeft een nieuwe zero-day in zijn Secure Email Gateway (SEG) gepatcht die al actief wordt misbruikt, meldt BleepingComputer. De kwetsbaarheid, CVE-2026-76519, zit in de Advanced Malware Protection-functie (AMP) en ontstaat doordat het apparaat e-mailbijlagen onjuist verwerkt. Een aanvaller kan via een speciaal geprepareerde bijlage, verstuurd naar een kwetsbaar apparaat, zonder inloggegevens bestanden wegschrijven en commando’s uitvoeren met root-rechten.
Cisco’s beveiligingsteam PSIRT werd in oktober op de hoogte gebracht van actieve uitbuiting. Het bedrijf deelt geen details over de waargenomen aanvallen, maar wel indicatoren van compromittering in de vorm van specifieke logmeldingen. Omdat een aanvaller na het verkrijgen van root-toegang sporen kan wissen, raadt Cisco aan ook firewall- en netwerklogs te controleren op downloads en uploads naar externe of verdachte IP-adressen. Het bedrijf heeft zelf al mitigaties doorgevoerd op zijn cloudinstanties en klanten van Cisco Secure Email Cloud benaderd bij wie mogelijke compromittering is aangetroffen.
Kwetsbaar zijn apparaten waarop de File Reputation-service is ingeschakeld en gekoppeld aan een mailbeleid, met een Content Scanner Tools-versie ouder dan 25.3.0.5525. Beheerders controleren de versie met het CLI-commando contentscannerstatus, of in de webinterface onder Mail Policies, Incoming of Outgoing Mail Policies, Advanced Malware Protection, waar “Enable File Reputation” is aangevinkt. De oplossing is upgraden naar Content Scanner Tools 25.3.0.5525 of hoger. Bij een vermoede compromittering adviseert Cisco credentials en cryptografisch sleutelmateriaal te vernieuwen, toegang te beperken en contact op te nemen met Cisco TAC.
Opnieuw een SEG-lek binnen een jaar
Het is niet de eerste keer dit jaar dat Cisco een ernstige fout in zijn e-mailproducten moet dichten. In januari patchte het bedrijf CVE-2025-20393, een AsyncOS-kwetsbaarheid met maximale ernst die sinds november 2025 al actief werd misbruikt tegen SEG en Secure Email and Web Manager. In september volgde een eveneens actief misbruikte SQL-injectie in SEG, CVE-2026-76461, waarmee niet-geauthenticeerde aanvallers rootcommando’s konden uitvoeren. Shadowserver telt wereldwijd bijna 300 Cisco SEG-instanties die rechtstreeks vanaf internet bereikbaar zijn.
CISA heeft sinds november 2021 al honderd Cisco-kwetsbaarheden aan de KEV-catalogus toegevoegd, waarvan er zeven later ook in ransomware-aanvallen zijn ingezet. Voor beheerders van een Secure Email Gateway is dit opnieuw een signaal om niet te wachten met patchen: controleer de Content Scanner Tools-versie, update naar 25.3.0.5525 of hoger en loop de logs van de afgelopen weken na op tekenen van misbruik.
Het NCSC heeft inmiddels ook een eigen advisory gepubliceerd over deze kwetsbaarheid, NCSC-2026-0429, met de hoogste risicoclassificatie [H/H]: zowel de kans op misbruik als de mogelijke schade beoordeelt de dienst als hoog. Het NCSC bevestigt actief misbruik en roept beheerders op de update van Cisco zo snel mogelijk te installeren.
Bron: BleepingComputer, NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u een Cisco Secure Email Gateway met File Reputation ingeschakeld? Controleer de versie met het commando contentscannerstatus en update naar Content Scanner Tools 25.3.0.5525 of hoger. Loop daarnaast de firewall- en netwerklogs van de afgelopen weken na op verdachte uploads of downloads.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.