Aanvallers maken actief misbruik van een kritieke SQL Injection-kwetsbaarheid in de Cisco Secure Email Gateway, zo waarschuwt Cisco. Via het beveiligingslek (CVE-2026-76461) kan een aanvaller willekeurige commando's met rootrechten op het onderliggende besturingssysteem uitvoeren. Cisco heeft beveiligingsupdates uitgebracht om het probleem te verhelpen.

De Secure Email Gateway, eerder bekend als Email Security Appliance, is zowel een virtuele als hardwarematige appliance voor het filteren van e-mailverkeer op allerlei dreigingen. Het product is in het verleden vaker het doelwit geweest van aanvallen, waaronder eind vorig jaar. SQL Injection is een probleem dat al sinds 1998 bekend is, maar nog altijd voorkomt omdat softwareontwikkelaars onveilig programmeren en organisaties hun software niet laten controleren.

In het geval van CVE-2026-76461 wordt het probleem veroorzaakt door onvoldoende validatie in de logica voor het verwerken van e-mails. Een aanvaller kan door het versturen van een speciaal geprepareerde e-mail met malafide SQL statements hier misbruik van maken. Zodra de Cisco Secure Email Gateway een dergelijke mail verwerkt kan een aanvaller willekeurige SQL statements uitvoeren, wat leidt tot het uitvoeren van commando's met rootrechten op het onderliggende besturingssysteem.

Cisco meldt dat het deze maand misbruik van de kwetsbaarheid ontdekte. In het geval van de Cisco Secure Email Cloud heeft Cisco klanten gewaarschuwd waar aanwijzingen van een hack zijn gevonden. Cisco zegt bezig te zijn met 'remediation and recovery' operaties, maar geeft geen verdere details. Cisco Secure Email Cloud devices zijn inmiddels gepatcht. Organisaties met on-premises devices moeten dit zelf doen.

Tevens heeft Cisco Indicators of Compromise (IoC's) gegeven waarmee organisaties kunnen kijken of ze zijn gehackt. Zo wordt aangeraden om in de mail-logs op verdachte SQL statements te zoeken. Verdere details over de aanvallen zijn niet gegeven.