Draait u Cisco Secure Email Gateway, dan moet AsyncOS vóór woensdag 17 september 2026 op een vaste release. Aanvallers sturen een kwaadaardige mail en kunnen zonder login root-commando’s uitvoeren. Er is geen workaround.
KMO-IMPACT: DRINGEND
Cisco publiceerde maandag 14 september 2026 een kritieke SQL-injectie in de e-mailparser van AsyncOS voor Secure Email Gateway (CVE-2026-76461, CVSS 9.8). Een onbekende aanvaller stuurt een speciaal opgestelde e-mail door het toestel. Die mail kan SQL-statements uitvoeren en zo root-rechten op het onderliggende systeem krijgen. Fysieke én virtuele appliances zijn geraakt, ongeacht de configuratie. Secure Email and Web Manager en Secure Web Appliance vallen erbuiten.
Cisco PSIRT bevestigde in september 2026 actief misbruik. De Amerikaanse CISA zette het lek dezelfde dag op de Known Exploited Vulnerabilities-lijst, met remediatiedeadline woensdag 17 september 2026 voor federale diensten. Behandel die datum als harde bovengrens voor uw eigen omgeving.
Welke versie u nodig hebt
Er is geen tijdelijke mitigerende maatregel. Upgrade via System Administration, System Upgrade (of CLI-commando upgrade):
- AsyncOS 15.5 en ouder: naar 15.5.5-014
- AsyncOS 16.0: naar 16.0.4-302
- AsyncOS 16.5: naar 16.5.0-780
Cisco raadt migratie naar 16.5.0-780 aan. Cisco Secure Email Cloud-apparaten staan volgens Cisco al op 16.5.0-780. Klanten bij wie cloudapparatuur sporen van kwaadaardige activiteit toonde, zijn rechtstreeks gecontacteerd.
Controle op misbruik
Zoek in mail_logs naar verdachte SQL, bijvoorbeeld regels met COPY … TO PROGRAM (cluster: elk knooppunt apart). Bij root-compromis kunnen logs gewist of verborgen zijn. Cross-check daarom ook firewall- en netwerklogs op onverwacht verkeer van of naar het toestel.
Vermoed u compromis op een virtuele appliance: bewaar eerst forensische data, zet daarna een nieuwe VM op een vaste release, herbouw de configuratie en vernieuw credentials en cryptografisch materiaal. Bij een fysiek toestel: Cisco TAC.
Wat betekent dit voor uw onderneming?
Voor wie: organisaties met Cisco Secure Email Gateway (fysiek of virtueel) in eigen beheer; IT-partners die die boxes beheren.
Vanaf wanneer: advisory 14 september 2026; actief misbruik bevestigd; CISA-deadline woensdag 17 september 2026.
Financiële impact: geen aparte Cisco-prijs voor de patch in de advisory; wel risico op mailgateway-overname, datadiefstal en herstel.
Wat moet u doen: AsyncOS upgraden naar een vaste release; mail_logs en externe logs checken; bij vermoeden van compromis forensics + herbouw of TAC.
Deadline: upgrade vóór woensdag 17 september 2026.
Nog niet duidelijk: of uw specifieke box al is geraakt; dat ziet u alleen in logs en externe monitoring.
