Dit Cisco-lek wordt al misbruikt — deze organisaties moeten nu handelen

Een kritiek beveiligingslek in Cisco Secure Email Gateway wordt al misbruikt. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt zowel de kans op misbruik als de mogelijke schade als hoog. Beheerders van getroffen installaties moeten daarom onmiddellijk controleren welke configuratie en versie zij gebruiken.

De waarschuwing geldt niet voor iedere organisatie met Cisco-apparatuur en ook niet voor gewone thuisgebruikers. Alleen een getroffen AsyncOS-versie, een specifieke instelling en een verouderd beveiligingsonderdeel maken de e-mailgateway samen via deze kwetsbaarheid vatbaar voor een aanval.

Het Cisco-lek in 30 seconden

Controleer eerst deze drie voorwaarden

Een Cisco Secure Email Gateway is door CVE-2026-76519 alleen kwetsbaar wanneer aan alle drie de voorwaarden wordt voldaan:

1. het apparaat draait een door Cisco als kwetsbaar aangemerkte versie van AsyncOS;
2. de dienst File Reputation, onderdeel van Advanced Malware Protection, is ingeschakeld en aan een e-mailbeleid gekoppeld;
3. de versie van Content Scanner Tools is ouder dan 25.3.0.5525.

Dat onderscheid is belangrijk. De productnaam alleen bewijst niet dat een installatie geraakt kan worden. Cisco beschrijft in zijn officiële beveiligingsadvies hoe beheerders de drie voorwaarden controleren.

Cisco bevestigt dat Secure Email and Web Manager en Secure Web Appliance niet door deze specifieke kwetsbaarheid worden getroffen.

Welke versies verhelpen het lek?

De snelste oplossing kan een bijgewerkte versie van Content Scanner Tools zijn. Versie 25.3.0.5525 en nieuwer bevat de reparatie. Volgens Cisco vereist die pakketupdate geen volledige software-upgrade en geen herstart. Installaties met automatische pakketupdates hoeven geen extra handeling uit te voeren zodra de nieuwe versie aantoonbaar is toegepast.

Voor beheerders die AsyncOS bijwerken, noemt Cisco de volgende eerste vaste versies:

Cisco adviseert klanten met een oudere reeks dan 16.5 om naar 16.5.0-780 te migreren. Wie automatische pakketupdates heeft uitgeschakeld, moet de Content Scanner Tools handmatig laten bijwerken en daarna de versie opnieuw controleren.

Bij vermoedelijke inbraak komt bewijs vóór het bijwerken

Normaal is snel bijwerken de juiste eerste stap. Bij aanwijzingen dat het apparaat al is binnengedrongen, verandert de volgorde. Cisco waarschuwt dat het bijwerken of vervangen van een getroffen virtuele installatie forensische gegevens en logbestanden kan vernietigen.

Beheerders moeten daarom eerst relevante gegevens veiligstellen volgens hun eigen incidentprocedure. Daarna adviseert Cisco voor een mogelijk getroffen virtuele installatie onder meer:

• een nieuwe virtuele machine met een vaste softwareversie uitrollen;
• de configuratie opnieuw opbouwen zonder oude configuratiebestanden te importeren;
• wachtwoorden, sleutels en ander cryptografisch materiaal vernieuwen;
• het systeem daarna blijven controleren op afwijkend gedrag.

Bij een fysiek apparaat met mogelijke sporen van misbruik adviseert Cisco contact op te nemen met de technische ondersteuning van het bedrijf. Is één apparaat in een cluster mogelijk geraakt, dan moeten ook de andere clusterleden worden onderzocht en zo nodig veilig worden hersteld. Een buitgemaakte persoonlijke sleutel voor de onderlinge verbinding kan anders toegang tot meer apparaten geven.

Zo zoek je naar aanwijzingen voor misbruik

Cisco laat beheerders in de systeemlogboeken zoeken naar meldingen die beginnen met System Security. Een melding kan aangeven dat een mogelijke compromitteringsindicator is gevonden, dat de controle niet kon worden voltooid of dat de controle geen indicator aantrof.

Een schone uitkomst is nuttig, maar geen absoluut bewijs dat niets is gebeurd. Een aanvaller met de hoogste systeemrechten kan sporen verwijderen of verbergen. Cisco adviseert daarom ook logboeken buiten het apparaat te controleren, zoals die van de netwerkverbinding en de firewall. Let daar onder meer op onverwachte overdrachten van het apparaat naar externe adressen of binnenkomend verkeer vanaf kwaadaardige adressen.

Niet hetzelfde lek als in september

In september meldde Cisco al een ander actief misbruikt lek in hetzelfde product: CVE-2026-76461. Dat was een fout in de verwerking van e-mailinhoud waarbij kwaadaardige opdrachten voor een databank konden worden meegestuurd. Die kwetsbaarheid gold ongeacht de configuratie.

De nieuwe CVE-2026-76519 is anders. Deze fout zit in de verwerking van bijlagen wanneer File Reputation actief is. Door een probleem met bestandspaden kan een aanvaller willekeurige bestanden op het systeem plaatsen en uiteindelijk opdrachten met de hoogste systeemrechten uitvoeren.

De twee waarschuwingen hebben dezelfde ernstscore van 9,8 en kunnen allebei tot volledige controle leiden, maar hun oorzaak, voorwaarden en controlepunten verschillen. Beheerders moeten dus niet aannemen dat het verhelpen van het septemberlek automatisch ook deze nieuwe fout afdekt.

Wat betekent dit voor Nederland?

Het NCSC-advies NCSC-2026-0429 is bedoeld voor professionele Nederlandse organisaties en beoordeelt de kans en schade als hoog. Het centrum verwacht meer scanverkeer en nieuwe aanvalspogingen, al was op 14 oktober nog geen openbare voorbeeldcode bekend.

De Amerikaanse beveiligingsdienst CISA plaatste de kwetsbaarheid op 14 oktober in zijn catalogus van aantoonbaar misbruikte kwetsbaarheden. De Amerikaanse hersteltermijn van 17 oktober geldt voor betrokken Amerikaanse federale instellingen en is geen Nederlandse wettelijke termijn. Voor Nederlandse beheerders verandert dat niets aan de praktische urgentie: het misbruik is bevestigd en er is geen tijdelijke oplossing.

Er is in de openbare bronnen geen getroffen Nederlandse organisatie bevestigd. Ook is niet bekend hoeveel systemen wereldwijd zijn aangevallen. De waarschuwing betekent daarom niet dat iedere installatie is gehackt, maar wel dat uitstel onnodig risico toevoegt.

Bronnen en bewijsgrens

De Nederlandse risico-inschatting en verwachting van meer misbruik komen uit NCSC-2026-0429, gepubliceerd op 14 oktober 2026. De voorwaarden voor kwetsbaarheid, veilige versies, controle van logboeken en herstelstappen staan in het officiële advies van Cisco.

Het verschil met de waarschuwing uit september is gecontroleerd aan de hand van Cisco’s afzonderlijke advies over CVE-2026-76461. De bronnen bevestigen actief misbruik, maar noemen geen Nederlands slachtoffer en geen volledig aantal aangevallen systemen.