Cisco vraagt klanten opnieuw snel te handelen. Het bedrijf dringt er "sterk" op aan om een andere kritieke kwetsbaarheid op rootniveau in zijn Secure Email Gateway (SEG) te patchen, en het lek is al misbruikt in zero-day-aanvallen door onbekende actoren. Volgens The Register, dat een woordvoerder van Cisco citeerde, slaan zowel Cisco als CISA alarm. Voor elke organisatie die mail via deze appliances routeert, verdient deze Cisco Secure Email Gateway zero-day vandaag aandacht, niet tijdens het volgende onderhoudsvenster.

De bronrapportage is beknopt, dus dit bericht houdt zich aan wat bevestigd is: de kwetsbaarheid is kritiek, ze verleent controle op rootniveau, ze is misbruikt voordat er een fix bestond, en de aanvallers zijn niet geïdentificeerd.

Wat "Make-Me-Root" betekent voor een e-mailgateway

"Make-me-root" is een afkorting voor een kwetsbaarheid waarmee een aanvaller root kan verkrijgen, het hoogste privilege niveau op een Linux-gebaseerd systeem. Root-toegang betekent dat een aanvaller niet langer beperkt is tot één toepassing of account. Ze kunnen doorgaans bestanden lezen en wijzigen, configuraties aanpassen, persistente tools installeren en de software manipuleren die de appliance draait.

Op een typisch werkstation is dat ernstig. Op een beveiligingsappliance is het erger, omdat het apparaat door zijn ontwerp vertrouwd wordt. Andere systemen in het netwerk gaan ervan uit dat de gateway zijn werk doet, dus een gecompromitteerde gateway kan stilletjes juist de bescherming ondermijnen die hij zou moeten bieden.

Waarom e-mailgateways aantrekkelijke doelen zijn

Een Secure Email Gateway bevindt zich in het pad van inkomende en uitgaande mail. Bedrijven gebruiken het om spam, phishing en malware te filteren voordat berichten medewerkers bereiken. Die positie maakt het om verschillende redenen aantrekkelijk:

  • Zichtbaarheid in de mailstroom. Een apparaat dat berichten inspecteert, kan gevoelige inhoud, bijlagen en metadata verwerken over wie met wie communiceert.
  • Internetblootstelling. Gateways moeten verbindingen van buitenaf accepteren, wat aanvallers een plek geeft om te sonderen.
  • Beperkte monitoring. Appliances draaien vaak niet de endpoint-detectietools die laptops en servers beschermen, dus een compromis kan onopgemerkt blijven.
  • Vertrouwde netwerkpositie. Een voet aan de grond op een gateway kan een opstapje naar interne systemen zijn.

Dit is niet de eerste keer dat Cisco's e-mailgateway in de schijnwerpers staat. Onze eerdere berichtgeving over Cisco's noodpatch voor een root-toegang kwetsbaarheid in de gateway en de waarschuwing voor een actief misbruikte e-mailgateway zero-day tonen een patroon van ernstige problemen in dezelfde productlijn. Aanvallers richten zich ook op de mailbeveiligingstools van andere leveranciers, zoals te zien is in de FortiMail zero-day misbruikt in echte aanvallen, wat suggereert dat de categorie als geheel aandacht trekt.

Wat Cisco en CISA klanten vertellen te doen

De boodschap van zowel Cisco als CISA is consistent: patchen. Cisco's formulering was dat het er "sterk" op aandringt dat klanten updaten, en CISA's betrokkenheid geeft aan dat de kwetsbaarheid wordt beschouwd als een reëel risico voor organisaties, waaronder netwerken in de publieke sector. Omdat misbruik al plaatsvindt, is dit geen theoretisch risico dat kan wachten op een kwartaalreview.

De bron beschrijft niet hoeveel klanten getroffen zijn of wie achter de aanvallen zit, en wij zullen niet gissen. Wat duidelijk is, is dat onbekende aanvallers een voorsprong hadden, wat betekent dat organisaties patchen als stap één moeten behandelen, niet als het einde van het proces.

Hoe je patchstatus controleert en mogelijke e-mailblootstelling opspoort

Als je Cisco SEG-appliances beheert, fysiek of virtueel, werk dan een korte checklist af:

  1. Bevestig je versie. Vergelijk de draaiende software met de opgeloste releases die in Cisco's officiële advies worden vermeld.
  2. Pas de update toe. Geef internetgerichte gateways prioriteit.
  3. Controleer de CISA KEV-catalogus. CISA's lijst van Known Exploited Vulnerabilities stelt verwachtingen voor herstel en is een nuttige referentie, zelfs als je geen federale instantie bent.
  4. Controleer toegang. Bekijk wie de beheerinterfaces van de appliance kan bereiken en beperk deze tot vertrouwde netwerken.
  5. Zoek naar tekenen van compromis. Controleer logs op onverwachte aanmeldingen, configuratiewijzigingen, nieuwe accounts of ongebruikelijke uitgaande verbindingen. Als er iets niet klopt, volg je incidentresponsplan en neem contact op met Cisco-support.
  6. Overweeg mailblootstelling. Als een gateway mogelijk gecompromitteerd is, ga ervan uit dat berichten die erdoorheen gingen bekeken konden zijn, en beoordeel welke gevoelige informatie daarbij betrokken kan zijn.

Voor achtergrond over een eerdere campagne tegen dezelfde productfamilie, zie ons rapport over CVE-2025-20393 en de Cisco e-mailgateway zero-day onder aanval.

Wat dit voor jou betekent

Als je IT of beveiliging beheert voor een organisatie die Cisco SEG gebruikt, is de actie direct: verifieer nu je patchniveau en controleer de appliance op tekenen van manipulatie. Als je een medewerker of klant van zo'n organisatie bent, kun je zelf niets patchen, maar je kunt wel waakzaam blijven. Wees voorzichtig met onverwachte berichten, zelfs als ze van vertrouwde contacten lijken te komen, en let op wat je via e-mail verstuurt, aangezien een compromis van de gateway berichtinhoud kan blootstellen.

Individuen die deze appliances niet draaien, worden niet direct getroffen door deze specifieke kwetsbaarheid. Toch is het een herinnering dat e-mail zelden standaard privé is, en dat de infrastructuur die het vervoert kan falen.

Belangrijkste punten

  • Deze Cisco Secure Email Gateway zero-day is kritiek, verleent controle op rootniveau en wordt al misbruikt.
  • Zowel Cisco als CISA dringen aan op onmiddellijk patchen.
  • Patch eerst, onderzoek daarna: controleer logs, toegangscontroles en configuratie op tekenen van compromis.
  • Controleer de CISA KEV-catalogus en Cisco's advies voor gezaghebbende details.
  • Bekijk de eerdere berichtgeving die hierboven is gelinkt voor context over hoe herhaalde kwetsbaarheden in deze productlijn zich hebben voltrokken.

Als je organisatie afhankelijk is van Cisco SEG, verifieer vandaag de patchstatus en bevestig waartoe CISA's richtlijnen je verplichten.