Cisco Secure Email Gateway: basta una e-mail trappola per ottenere root, falla già sfruttata

Cisco ha corretto CVE-2026-76519, una falla critica del suo gateway di posta Secure Email Gateway: una e-mail con un allegato manipolato basta per scrivere file ed eseguire comandi come root sull’appliance. Cisco conferma lo sfruttamento attivo; la CISA ha dato alle agenzie USA tempo fino al 17 ottobre.

Cosa è successo

Il 14 ottobre 2026 Cisco ha pubblicato un bollettino su CVE-2026-76519 (CVSS 9,8), una falla nella funzione Advanced Malware Protection (AMP) di Cisco Secure Email Gateway, l’appliance di filtraggio della posta installata presso il cliente. Il produttore dichiara che il suo team di sicurezza è venuto a conoscenza di uno sfruttamento attivo in ottobre. Lo stesso giorno la CISA ha inserito la falla nel catalogo delle vulnerabilità sfruttate, con scadenza al 17 ottobre per le agenzie federali.

Il difetto riguarda la gestione degli allegati quando il servizio di reputazione dei file è attivo. Non serve autenticarsi: basta inviare attraverso il gateway un messaggio con un allegato manipolato per scrivere file arbitrari sul sistema ed eseguire comandi con privilegi root. Secondo Cisco non esiste alcun workaround.

Chi è coinvolto

Le appliance fisiche e virtuali sono vulnerabili se valgono due condizioni: File Reputation è attivo in una policy di posta (Mail Policies > Advanced Malware Protection) e il pacchetto Content Scanner Tools è precedente a 25.3.0.5525. Secure Email and Web Manager e Secure Web Appliance non sono coinvolti. Per Secure Email Cloud Gateway, Cisco afferma di aver già distribuito la correzione.

Cosa fare ora

1. Verificate la versione con il comando contentscannerstatus. Sotto la 25.3.0.5525 siete esposti.
2. Aggiornate il pacchetto con contentscannerupdate: non servono riavvio né aggiornamento di AsyncOS, e le appliance con aggiornamento automatico lo ricevono da sole.
3. Pianificate l’aggiornamento di AsyncOS: 15.5.5-014 o 16.5.0-780. Cisco consiglia di portare a 16.5.0-780 tutto ciò che è precedente alla 16.5.
4. Cercate tracce: individuate i messaggi System Security in system_logs e controllate i log del firewall e della rete alla ricerca di invii inattesi dall’appliance, perché con i privilegi root un attaccante può cancellare le prove in locale.
5. Se sospettate una compromissione, contattate il TAC di Cisco per un’appliance fisica; ricostruite quella virtuale con software corretto senza importare il vecchio file di configurazione, e rinnovate credenziali e chiavi. In un cluster ripristinate ogni membro: le chiavi SSH condivise potrebbero essere state rubate.

Il nostro parere

Un gateway di posta legge ogni messaggio indirizzato all’azienda, quindi chiunque abbia un indirizzo e-mail può raggiungerlo. Un componente di sicurezza che apre gli allegati va aggiornato con la stessa rapidità di una VPN, e il suo traffico in uscita va sorvegliato dall’esterno dell’apparato.

Fonti

• Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-76519
• The Hacker News — Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability

Come scegliamo, verifichiamo e scriviamo le nostre analisi →