Cisco-Zero-Day: E-Mail-Gateway als Einfallstür

Ein aktueller Cisco-Zero-Day zeigt erneut, wie schnell zentrale Sicherheitskomponenten selbst zur Angriffsfläche werden können. Weltweit werden Cisco-E-Mail-Security-Appliances aktiv kompromittiert – in vielen Fällen, noch bevor Unternehmen reagieren können. Besonders kritisch: Ein Patch steht bislang nicht zur Verfügung, während Angreifer bereits tief in produktive Infrastrukturen eindringen.

Nachtrag vom 20. Oktober 2026: Cisco hat am 15. Januar 2026, zwei Tage nach Erscheinen dieses Beitrags, korrigierte AsyncOS-Versionen veröffentlicht. Einen Workaround gibt es laut dem Cisco-Advisory nicht; betroffene Appliances sollten auf die dort genannten Versionen aktualisiert werden. Die Angaben zur Zuordnung der Angreifer und zu den Voraussetzungen des Angriffs haben wir an die Veröffentlichungen von Cisco und Cisco Talos angepasst.

Angriff im Fokus: CVE-2025-20393 in Cisco AsyncOS

Im Mittelpunkt steht eine bislang ungepatchte Schwachstelle in Cisco AsyncOS, der Basissoftware mehrerer Cisco-E-Mail-Security-Produkte. Angreifer nutzen eine fehlerhafte Request-Verarbeitung aus, um aus der Ferne und ohne Authentifizierung Code mit höchsten Systemrechten auszuführen (CVE-2025-20393, CVSS 10.0).

Die Angriffe richten sich gezielt gegen öffentlich erreichbare Appliances, auf denen die Spam-Quarantäne aktiviert und aus dem Internet erreichbar ist – laut Cisco keine Standardeinstellung. Nach erfolgreicher Ausnutzung verschaffen sich die Angreifer Root-Zugriff, installieren persistente Backdoors und manipulieren Logdateien, um ihre Spuren zu verwischen.

Cisco Talos ordnet die Kampagne mit mittlerer Konfidenz einer China-nahen APT-Gruppe zu, die als UAT-9686 geführt wird. Die Angriffe liefen nach bisherigen Erkenntnissen bereits Wochen vor der öffentlichen Warnung vom 17. Dezember 2025. Laut Cisco handelt es sich nicht um breit gestreute Scans, sondern um selektive Zugriffe auf eine begrenzte Zahl von Appliances.

Warum sofortiges Handeln nötig ist

Ein kompromittiertes E-Mail-Gateway ist weit mehr als ein einzelnes Systemproblem. Es verschafft Angreifern Zugriff auf sensible Kommunikation, ermöglicht die Umgehung von Sicherheitskontrollen und dient als stabiler Einstiegspunkt für weitere Schritte im internen Netzwerk.

E-Mail-Gateways gehören zu den vertrauenswürdigsten Systemen in Unternehmensnetzwerken. Genau das macht diesen Zero-Day so gefährlich. Wird eine solche Instanz übernommen, verlieren viele nachgelagerte Schutzmechanismen ihre Wirksamkeit.

Zusätzlich problematisch ist die aktuelle Patch-Situation. Unternehmen können sich nicht auf klassische Update-Prozesse verlassen und müssen kurzfristig andere Maßnahmen ergreifen, um ihre Exposition zu reduzieren. Wer abwartet, riskiert Datenabfluss, gezielte Spionage oder eine nachhaltige Kompromittierung interner Prozesse.

Hinzu kommt ein bekanntes strukturelles Defizit: Netzwerk- und Security-Appliances werden häufig unzureichend überwacht, fallen aus regulären Scan-Routinen heraus und gelten als stabiler Dauerbetrieb. Genau solche Annahmen nutzen Angreifer gezielt aus.

In Zero-Day-Situationen entscheidet Sichtbarkeit

blacklens.io unterstützt Unternehmen dabei, kritische Systeme und deren reale Angriffsfläche transparent zu machen und bei Bedarf proaktiv zu informieren.

Die Technologie-Erkennung ordnet den aus dem Internet erreichbaren Diensten und Webanwendungen Hersteller und Produkte zu, soweit sich diese von außen erkennen lassen. So wird sichtbar, welche Systeme überhaupt von außen erreichbar sind. Über ihre Erreichbarkeit lassen sich riskante Konfigurationsmuster erkennen, etwa offen zugängliche Dienste oder Management-Interfaces. Durch kontinuierliches Monitoring lassen sich Veränderungen der Exposition frühzeitig erkennen und vermeiden – auch ohne verfügbaren Patch.

Ergänzend gleicht das Frühwarnsystem von blacklens.io externe Threat Intelligence mit der eigenen Infrastruktur ab. Security-Teams erhalten so aktuelle Informationen und können besser priorisieren: Welche Systeme sind potenziell betroffen, welche geschäftskritisch und wo besteht akuter Handlungsbedarf? Gerade bei aktiver Ausnutzung schafft diese Einordnung Entscheidungs- und Handlungssicherheit.

Was dieser Zero-Day zeigt

Dieser Cisco-Zero-Day macht deutlich, wie schnell zentrale Infrastruktur zur Einfallstür werden kann. Nicht exotische Systeme, sondern weit verbreitete Sicherheitskomponenten stehen im Fokus moderner Angreifer.

Patches bleiben wichtig, reichen aber oft nicht aus. Entscheidend ist die Fähigkeit, die eigene Angriffsfläche kontinuierlich zu überwachen, Exposition aktiv zu reduzieren und kritische Systeme realistisch zu bewerten. Zero-Days dieser Art sind kein Ausnahmefall mehr, sondern Teil einer neuen Normalität.

Unternehmen, die frühzeitig in Transparenz und Exposure Management investieren, sind besser vorbereitet – nicht nur auf den nächsten Zero-Day, sondern auf eine dauerhaft dynamische Bedrohungslage.