Het Nationaal Cyber Security Centrum (NCSC) waarschuwde op 15 oktober 2026 voor een kritieke kwetsbaarheid in Cisco Secure Email Gateway, geregistreerd als CVE-2026-76519 met een score van 9,8 op 10. Het gaat om een fout in de functie voor Advanced Malware Protection. Een aanvaller zonder inloggegevens kan de kwetsbaarheid op afstand misbruiken door een e-mail met een kwaadaardige bijlage te sturen. Daarmee kan hij bestanden schrijven en opdrachten uitvoeren met de hoogste rechten, wat neerkomt op een volledige overname van het systeem. Er is actief misbruik waargenomen. Een openbaar bewijs van de aanval of een kant-en-klare exploit is er volgens het NCSC nog niet, maar het centrum verwacht dat die snel verschijnt. Zowel de kans op misbruik als de mogelijke schade beoordeelt het NCSC als hoog. Cisco heeft een update uitgebracht. Welke versies precies getroffen zijn, stond niet op de gelezen pagina; dat moet u in het advies van Cisco en het NCSC (NCSC-2026-0429) nagaan.
Dit voorbeeld laat goed zien waarom dit type apparatuur zo aantrekkelijk is voor aanvallers. Een e-mailgateway staat per definitie aan de rand van het netwerk, verwerkt ongevraagd post van buiten en heeft vaak verregaande rechten, juist omdat hij mailstromen moet kunnen inspecteren. Wie zo’n systeem overneemt, zit op een plek waar weinig organisaties nog een tweede paar ogen hebben. De eigenlijke beveiligingsfunctie wordt dan het toegangspunt.
Wat betekent dit? De eerste vraag voor een bestuurder is niet of er al gepatcht is, maar of de organisatie dit überhaupt had gemerkt. Weet u welke randapparatuur u gebruikt, wie verantwoordelijk is voor de updates, en hoe snel een kritieke melding van het NCSC bij die persoon belandt? De tweede vraag gaat over detectie. Als misbruik vóór de update heeft plaatsgevonden, helpt alleen de update niet meer: dan is de vraag of aanwijzingen van een inbraak worden herkend en of er een melding volgt op het moment dat de wet dat vraagt. Voor organisaties onder de Cyberbeveiligingswet is dat geen vrijblijvende kwestie, omdat een significant incident gemeld moet worden. Een derde punt is de rol van een IT-leverancier of beheerder. Wie het beheer heeft uitbesteed, blijft zelf verantwoordelijk voor het resultaat en moet dus afspreken wie wat meldt en binnen welke tijd.
Een veelgemaakte denkfout is te denken dat een kwetsbaarheid zonder openbare exploit nog geen haast heeft. Het NCSC zegt hier het tegenovergestelde: er wordt al misbruik gemaakt en de verwachting is dat het snel eenvoudiger wordt. De ruimte om af te wachten is dus klein.
Tech Compliance helpt organisaties met het verkorten van de tijd-tot-detectie: wij maken inzichtelijk of uw logging en monitoring van randapparatuur misbruik daadwerkelijk zichtbaar maakt, en of uw meldproces onder de Cyberbeveiligingswet klaar is voor het moment dat het nodig is. Meer over deze dienst staat op https://techcompliance.nl/expertises/#logging-engineering. Lees het volledige bericht bij het NCSC: https://www.ncsc.nl/alerts/kwetsbaarheid-in-cisco-secure-email-gateway-met-actief-misbruik-update-nu