Cisco heeft gewaarschuwd dat een nieuwe kritieke kwetsbaarheid die van invloed is op AsyncOS Software voor Cisco Secure Email Gateway actief in het wild wordt uitgebuit.
De kwetsbaarheid, bijgehouden als CVE-2026-76461heeft een CVSS-score van 9,8 op een maximum van 10,0. Het is beschreven als een geval van onvoldoende validatie in de logica voor het parseren van e-mail, waardoor een niet-geverifieerde, externe aanvaller willekeurige opdrachten met rootrechten op het onderliggende besturingssysteem kan uitvoeren.
“Een aanvaller zou dit beveiligingslek kunnen misbruiken door een vervaardigd e-mailbericht met kwaadaardige SQL-instructies te verzenden via een getroffen apparaat”, aldus Cisco in een advies van maandag. “Een succesvolle exploit zou de aanvaller in staat kunnen stellen willekeurige SQL-instructies uit te voeren, wat zou leiden tot uitvoering van opdrachten met rootrechten op het onderliggende besturingssysteem.”
De tekortkoming heeft gevolgen voor Cisco Secure Email Gateway, zowel fysiek als virtueel, ongeacht de apparaatconfiguratie. De fabrikant van netwerkapparatuur zei echter dat andere producten zoals Secure Email en Web Manager en Secure Web Appliance niet worden beïnvloed.
Er zijn oplossingen beschikbaar voor de volgende versies van Cisco AsyncOS voor Cisco Secure Email Gateway Software Release –
- 15.5 en eerder (opgelost in 15.5.5-0141)
- 16.0 (opgelost in 16.0.4-302)
- 16.5 (opgelost in 16.5.0-780)
Er zijn geen andere oplossingen dan het updaten naar de nieuwste ondersteunde versie. Cisco zei dat het zich deze maand bewust werd van actieve exploitatie van dit beveiligingslek en deelde de volgende indicatoren van compromissen (IoC’s):
- Controleer mail_logs en zoek naar verdachte SQL-instructies.
- Als het apparaat deel uitmaakt van een cluster, bekijk dan de logboeken van elk clusterapparaat.
- Om potentieel schadelijke SQL-instructies te detecteren, wordt geadviseerd de opdracht uit te voeren: cisco-esa> grep -i “COPY.*TO PROGRAM” (IronPort Text Mail Logs Lognaam – standaard: mail_logs)
- De aanwezigheid van een vermelding in de uitvoer kan duiden op kwaadaardige activiteit.
Cisco zei ook dat het rechtstreeks contact heeft opgenomen met klanten die eigenaar zijn van Cisco Secure Email Cloud-apparaten waarop kwaadaardige activiteiten zijn gedetecteerd. De omvang van de aanslagen werd niet bekendgemaakt.
“Na succesvolle exploitatie van dit beveiligingslek kunnen bedreigingsactoren commando’s uitvoeren met root-privileges”, waarschuwde het bedrijf. “Vanwege dit toegangsniveau kunnen bewijzen van uitbuiting en indicatoren van compromissen worden verwijderd of verborgen door de dreigingsactoren.”
Als gevolg hiervan wordt beheerders aangeraden om de netwerklogboeken en de firewalllogboeken buiten het getroffen apparaat te controleren om eventuele afwijkende activiteiten te identificeren, inclusief onverwachte uploads die vanaf het getroffen apparaat naar externe IP-adressen zijn gestart of downloads van kwaadaardige IP-adressen.
Deze ontwikkeling heeft de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) ertoe aangezet om CVE-2026-76461 toe te voegen aan de Known Exploited Vulnerabilities (KEV)-catalogus, waardoor de Federal Civilian Executive Branch (FCEB)-agentschappen de patches vóór 17 september 2026 moeten toepassen.
Grootschalige inloggegevensaanvallen zijn gericht op Fortinet VPN’s
De onthulling komt dagen nadat Arctic Wolf eind augustus 2026 zei dat het grootschalige aanvallen op internetgerichte Fortinet VPN-apparaten had gedetecteerd. De grootschalige activiteit vond plaats gedurende twee aanhoudende golven in meerdere Amerikaanse klantomgevingen van 26 augustus tot en met 28 augustus 2026, wat tientallen miljoenen authenticatiefouten genereerde.
“De acteur gebruikte organisatiespecifieke gebruikersnamen, zakelijke e-mailadressen, aangesloten accounts en gemeenschappelijke administratieve identiteiten, waarmee toegang werd aangegeven tot eerder verzamelde of opgesomde identiteitsinformatie”, aldus beveiligingsonderzoeker Kyle Siddall.
“De pogingen tot gebruikersnamen omvatten namen van werknemers, zakelijke e-mailadressen, identiteiten van aangesloten bedrijven en gemeenschappelijke administratieve accounts die verband houden met de beoogde organisaties. Deze gerichte identiteitsselectie, in plaats van generieke gebruikersnaamspray, geeft toegang tot eerder verzamelde of opgesomde identiteitsinformatie.”
In één waargenomen geval werd een succesvolle Fortinet VPN-authenticatie afkomstig van het IP-adres “158.94.211(.)14” gevolgd door kwaadwillige activiteit in de getroffen omgeving.
