Cisco avverte di una vulnerabilità critica su Secure Email Gateway utilizzata in attacchi reali

Cisco ha avvertito di una vulnerabilità critica, identificata come CVE-2026-76519, che colpisce il Secure Email Gateway e viene attivamente sfruttata in attacchi reali. Gli attaccanti possono inviare allegati email appositamente creati attraverso il gateway per scrivere file nel sistema operativo dell'apparecchio e potenzialmente eseguire comandi con privilegi root senza autenticazione. La vulnerabilità ha un punteggio CVSS di 9.8 e è stata scoperta durante uno scan di sicurezza interno di Cisco, con segnalazioni di attacchi reali già nel mese di ottobre 2026. I dispositivi colpiti devono soddisfare due condizioni: devono avere attivato il servizio File Reputation, parte della funzionalità Advanced Malware Protection, e essere collegati a una mail policy, utilizzando una versione di Content Scanner Tools inferiore a 25.3.0.5525. La falla interessa sia gli appliance fisici che virtuali che eseguono AsyncOS. La soluzione più rapida consiste nell'aggiornare Content Scanner Tools alla versione 25.3.0.5525 o successive, installabile senza richiedere un upgrade software o un riavvio dell'apparecchio. Gli amministratori possono verificare la versione tramite il comando contentscannerstatus e, se gli aggiornamenti automatici sono disabilitati, eseguire contentscannerupdate tramite CLI.

Per la correzione a livello di AsyncOS, Cisco ha incluso la correzione già dal 14 settembre 2026 nelle versioni 15.5.5-014 e 16.5.0-780, rilasciate insieme a un pacco di hardening. La versione 16.0 non dispone di un build corretto (16.0.4-302 non risolve la falla), e Cisco raccomanda di upgradeare tutti i dispositivi con versione inferiore a 16.5 alla 16.5.0-780. Questa vulnerabilità non presenta workaround. Per i clienti del servizio Secure Email Cloud gestito, Cisco ha già distribuito la versione scanner corretta e sta contattando i clienti che hanno mostrato segnali di possibile compromissione. Per verificare se un dispositivo è stato attaccato, è possibile utilizzare il comando grep "System Security" system_logs su tutti gli apparecchi del cluster. Tuttavia, l'assenza di risultati anomali non conferma la sicurezza, poiché un attaccante con privilegi root potrebbe aver cancellato le tracce. Gli amministratori sono quindi invitati a controllare i log di firewall e rete per rilevare caricamenti o download di dati verso IP esterni sospetti. Nel caso in cui un appliance virtuale sia stato compromesso, Cisco consiglia di effettuare un'analisi forense prima di procedere, poiché l'upgrade distrugge i log e le prove; si dovrebbe poi creare un nuovo VM sulla versione corretta, configurarlo senza importare il file di configurazione precedente e reimpostare credential, key e certificate.