Sicurezza · 17 ottobre 2026
Cisco ripara una vulnerabilità zero-day nel Secure Email Gateway
Cisco ha corretto una nuova vulnerabilità zero-day attivamente sfruttata nel suo Secure Email Gateway (SEG) che consente a attaccanti remoti non autenticati di eseguire comandi con privilegi di root. La falla, tracciata come CVE-2026-76519, deriva da una debolezza di traversata di percorso relativo nella funzione Advanced Malware Protection (AMP) del SEG, causata da una gestione impropria degli allegati email. Gli attori minacciosi possono sfruttare questa questione inviando un'email con un allegato attentamente costruito tramite un dispositivo non patchato.
Secondo l'azienda, un exploit riuscito potrebbe consentire all'attaccante di scrivere file arbitrari ed eseguire comandi con privilegi di root nel sistema operativo sottostante. L'avviso è stato diffuso mercoledì dal Cisco PSIRT, che ha dichiarato di essere stato a conoscenza di sfruttamenti attivi già nell'ottobre 2026.
La vulnerabilità colpisce le istanze SEG in cui il servizio File Reputation è abilitato e assegnato a una policy di posta, e la versione dello Content Scanner Tools è inferiore alla 25.3.0.5525. Per verificare se un dispositivo è vulnerabile, gli amministratori devono utilizzare il comando CLI contentscannerstatus per controllare la versione in esecuzione e controllare la casella "Enable File Reputation" nelle policy di posta in arrivo o in uscita sotto Advanced Malware Protection nell'interfaccia di gestione web.
Cisco non ha fornito ulteriori dettagli sugli attacchi che sfruttano la CVE-2026-76519, ma ha condiviso gli indicatori di compromissione (IOC) presenti in una tabella incorporata. L'azienda ha avvertito i clienti di controllare i log del firewall e di rete per segni di attività sospetta, inclusi download e upload verso indirizzi IP esterni o sospetti, poiché gli aggressori possono rimuovere le prove dopo aver ottenuto l'esecuzione di comandi a livello di root sui sistemi vulnerabili.
L'azienda ha inoltre dichiarato di aver già distribuito mitigazioni sulle istanze cloud e di aver contattato i proprietari dei dispositivi Cisco Secure Email Cloud dove ha trovato evidenze di potenziale compromissione. "Cisco raccomanda fortemente ai clienti che sono stati contatti di ripristinare un dispositivo in una configurazione sicura rinnovando le credenziali e qualsiasi materiale crittografico installato sull'appliance, se possibile. Inoltre, Cisco raccomanda fortemente di limitare l'accesso all'appliance e di implementare meccanismi di controllo accesso robusti", ha dichiarato l'azienda.
Shadowserver, un osservatore della sicurezza internet, traccia quasi 300 istanze di Cisco Secure Email Gateway esposte online, ma non fornisce informazioni su quante siano honeypot o siano state già protette.
Cisco ha corretto un'altra vulnerabilità critica del SEG (CVE-2024-20401) nel luglio 2024 che consente agli attaccanti di aggiungere nuovi utenti con privilegi di root o di bloccare permanentemente gli appliance usando email con allegati malevoli.
A gennaio, l'azienda ha corretto un difetto AsyncOS a gravità massima (CVE-2025-20393) che gli aggressori hanno sfruttato in attacchi zero-day che hanno preso di mira appliance SEG e Secure Email and Web Manager (SEWM) dall'ottobre 2025.
Più di recente, lo scorso mese, Cisco ha avvertito i clienti di patchare un nuovo zero-day attivamente sfruttato del SEG (CVE-2026-76461) nella parsatura email del software Cisco AsyncOS che consente anche a attaccanti remoti non autenticati di eseguire comandi arbitrari con privilegi di root nel sistema operativo sottostante.
Dal novembre 2021, l'Agenzia per la sicurezza delle infrastrutture e della sicurezza (CISA) ha aggiunto 100 vulnerabilità Cisco al suo catalogo di falle attivamente sfruttate, sette delle quali sono state abusate in attacchi di ransomware.
Una volta che gli aggressori hanno credenziali valide, solo il 37% delle loro azioni sono bloccate. I punteggi complessivi di prevenzione possono nascondere ciò che accade dopo l'accesso iniziale. Una volta che gli aggressori stanno usando credenziali valide, la prevenzione crolla drasticamente.
Il Blue Report 2026 misura le difese tecnica per tecnica in 338 milioni di simulazioni eseguite in ambienti di produzione dei clienti.