Cisco Secure Email Gateway, attacchi attivi su CVE-2026-76519 (CVSS 9.8)

• Sfruttata attivamente CVE-2026-76519 (CVSS 9.8) in Cisco Secure Email Gateway
• Colpiti i gateway con File Reputation attivo e Content Scanner Tools precedenti a 25.3.0.5525
• Aggiornare lo scanner alla 25.3.0.5525 o passare ad AsyncOS 16.5.0-780; nessun workaround
• Verificare i log: un esito pulito non esclude la compromissione

Cisco ha avvertito, in un advisory pubblicato mercoledì, che è sfruttata attivamente una vulnerabilità critica in Secure Email Gateway, tracciata come CVE-2026-76519 (CVSS 9.8). Un mittente senza alcuna autenticazione può scrivere file nel sistema operativo dell’appliance. Se l’attacco riesce, potrebbe poi eseguire comandi come root.

L’attacco passa da una email con un allegato costruito ad hoc, inviata attraverso il gateway. Il dispositivo filtra la posta di un’organizzazione da spam, malware e altre minacce.

Chi è esposto

La vulnerabilità richiede due condizioni insieme:

• il servizio File Reputation, parte della funzione Advanced Malware Protection (AMP), è attivo e assegnato a una mail policy;
• la versione dei Content Scanner Tools è precedente alla 25.3.0.5525.

Sono interessati i gateway fisici e virtuali con release AsyncOS vulnerabili. Non lo sono Secure Email and Web Manager e Secure Web Appliance. Per verificare File Reputation si controlla la casella “Enable File Reputation” nelle policy AMP, in quelle in entrata o in uscita. Per la versione dello scanner si usa il comando contentscannerstatus da CLI.

Cosa si sa degli attacchi

Cisco ha scoperto la falla con le proprie scansioni interne ed è venuta a conoscenza degli attacchi in ottobre. L’advisory non indica quanti dispositivi siano stati colpiti, chi sia dietro gli attacchi, né se gli aggressori abbiano ottenuto i privilegi di root. Cisco ha contattato i clienti del servizio gestito Secure Email Cloud i cui dispositivi mostravano “indicators of possible compromise” e segue le attività di remediation e recovery. Per questi clienti la versione corretta dello scanner è già stata installata.

Come correggere

La via più rapida è l’aggiornamento dei Content Scanner Tools alla versione 25.3.0.5525 o successiva, che non richiede upgrade del software né riavvio. Se gli aggiornamenti automatici sono attivi, conviene verificare con contentscannerstatus che la versione sia effettivamente quella. Altrimenti si può eseguire contentscannerupdate o attivare gli aggiornamenti in Security Services > Service Updates.

La correzione completa di AsyncOS è disponibile dal 14 settembre nelle build 15.5.5-014 e 16.5.0-780. Cisco raccomanda di passare alla 16.5.0-780 per i gateway precedenti alla 16.5. Per la serie 16.0 non esiste una build corretta: va migrata a una release corretta. Anche la 16.0.4-302, che risolveva la SQL injection di settembre, non risolve questa falla. Non esistono workaround.

Verifica di una possibile compromissione

Cisco indica di cercare la stringa “System Security” nel file system_logs dell’appliance, su ogni membro di un cluster. L’esito può essere indicatore di compromissione trovato, scansione non completata (in entrambi i casi si contatta il TAC) oppure nessun indicatore. Un risultato pulito non è una prova: chi ha ottenuto root potrebbe aver cancellato le tracce. Vanno quindi controllati anche i log di firewall e di rete, per upload inattesi verso IP esterni o download da fonti malevole.

Per un’appliance fisica compromessa Cisco chiede di contattare il TAC e abilitare l’accesso remoto. Per una virtuale, i passaggi sono:

• preservare prima i dati forensi, perché l’upgrade di un’istanza compromessa distrugge log ed evidenze;
• distribuire una nuova macchina virtuale su una release corretta;
• ricostruire la configurazione senza importare file precedenti;
• rinnovare credenziali e materiale crittografico, continuando a monitorare.

I membri di un cluster si autenticano tra loro con coppie di chiavi SSH. Le chiavi private di un membro compromesso potrebbero aprire l’accesso agli altri, quindi Cisco raccomanda di ripristinare tutti i membri di un cluster con almeno un’appliance compromessa.

Il contesto: la seconda falla in un mese

È la seconda falla di Secure Email Gateway confermata sotto attacco in un mese. Il 14 settembre Cisco ha reso nota CVE-2026-76461, una SQL injection nel parsing delle email che permette a un mittente non autenticato di eseguire comandi come root. Colpisce tutte le configurazioni ed è stata aggiunta quel giorno al catalogo KEV della CISA. Cisco non ha collegato i due attacchi.

Lo stesso giorno è uscita una hardening release che raggruppa bug interni in cinque CVE “ombrello” per classe di debolezza: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443 (tutti 9.8) e CVE-2026-76442 (7.5). Cisco ha aggiornato quell’advisory: due bug sono sfruttati attivamente, la falla di scrittura file (classe path traversal) e la SQL injection di settembre. Secondo la policy di giugno, una falla ottiene un CVE proprio, tra l’altro, quando è nota come sfruttata.

È infine il terzo problema con privilegi root confermato come sfruttato su queste appliance dal dicembre scorso, quando il gruppo legato alla Cina tracciato da Cisco Talos come UAT-9686 usò lo zero-day CVE-2025-20393, corretto a gennaio.

Fonte: The Hacker News · Foto: The Hacker News