Cisco Secure Email Gateway, seconda zero-day root in un mese

🛡️ Executive Summary

• CVE-2026-76519 consente a un attaccante remoto non autenticato di scrivere file ed eseguire comandi root tramite un allegato email costruito ad hoc.
• Cisco conferma sfruttamento attivo nell’ottobre 2026: sono vulnerabili i gateway con File Reputation attivo e Content Scanner Tools precedente alla 25.3.0.5525.
• Non esistono workaround: nei sistemi compromessi Cisco raccomanda ricostruzione delle VM, rotazione delle credenziali e rinnovo del materiale crittografico.

Cisco Secure Email Gateway torna sotto sfruttamento attivo appena un mese dopo la precedente zero-day capace di consegnare privilegi root attraverso una semplice email. La nuova falla, CVE-2026-76519, ha CVSS 9,8 e interessa la funzione Advanced Malware Protection quando File Reputation è attivo. Questa volta il problema non è una SQL injection nella logica di parsing: un allegato costruito appositamente può abusare della gestione dei percorsi, consentire la scrittura arbitraria di file e arrivare all’esecuzione di comandi come root. Cisco conferma attacchi reali nell’ottobre 2026 e non indica workaround alternativi all’aggiornamento.

Un allegato email può trasformarsi in esecuzione di comandi root

La security advisory ufficiale Cisco dedicata a CVE-2026-76519 descrive una vulnerabilità CWE-23 di relative path traversal nella funzione Advanced Malware Protection di Secure Email Gateway. Il difetto deriva dalla gestione impropria degli allegati quando è abilitato il servizio File Reputation: un attaccante remoto non autenticato può inviare attraverso il gateway una email contenente un attachment costruito ad hoc, ottenere la scrittura arbitraria di file sul sistema operativo e successivamente eseguire comandi con privilegi root. La superficie è particolarmente delicata perché non richiede di raggiungere un’interfaccia amministrativa né di possedere credenziali: l’input ostile attraversa precisamente il servizio che il dispositivo deve ricevere e analizzare. Il precedente è molto vicino nel tempo. Il 15 settembre Matrice Digitale aveva documentato CVE-2026-76461, la SQL injection di Secure Email Gateway già sfruttata che trasformava una email malevola in command execution root. Cambia la causa tecnica, ma resta identico il risultato finale: un gateway progettato per filtrare traffico ostile diventa esso stesso il punto di ingresso privilegiato.

Leggi anche: Cisco patcha zero-day RCE sfruttato da APT cinesi nei Secure Email Gateway

Non tutti i Secure Email Gateway sono vulnerabili: servono due condizioni precise

CVE-2026-76519 colpisce appliance fisiche e virtuali che eseguono una versione vulnerabile di Cisco AsyncOS soltanto quando sono soddisfatte contemporaneamente due condizioni: File Reputation deve essere abilitato e associato a una mail policy, mentre la versione dei Content Scanner Tools deve essere precedente alla 25.3.0.5525. Gli amministratori possono verificare la prima condizione dalle policy AMP di posta in ingresso o uscita e controllare la versione installata attraverso il comando contentscannerstatus. Cisco ha distribuito il fix anche come aggiornamento del pacchetto Content Scanner Tools: le versioni 25.3.0.5525 e successive correggono il problema senza richiedere il riavvio del prodotto. Chi utilizza gli aggiornamenti automatici del content scanner riceve quindi la correzione attraverso il normale meccanismo di update; per gli ambienti dove gli aggiornamenti automatici sono disattivati è necessario avviare manualmente contentscannerupdate. Sul piano delle release complete, Cisco indica 15.5.5-014 come versione corretta per il ramo 15.5, mentre per il 16.0 prescrive la migrazione verso una release corretta e raccomanda in generale il passaggio a 16.5.0-780. La nuova falla arriva dopo una lunga sequenza di interventi sul prodotto, compresi i problemi S/MIME e le altre correzioni Secure Email già analizzate a settembre.

Cisco introduce un controllo nei system_logs ma root può cancellare le tracce

Cisco fornisce un primo meccanismo di triage attraverso i system_logs: il comando grep "System Security" system_logs può restituire messaggi che indicano assenza di compromissione, scansione incompleta oppure presenza di un suspected compromise indicator. Nei cluster il controllo deve essere eseguito su ogni nodo. Ma il vendor mette esplicitamente in guardia da un limite sostanziale: dopo lo sfruttamento, l’attaccante può ottenere root e quindi rimuovere o nascondere le evidenze locali. Per questo Cisco chiede di confrontare i log dell’appliance con firewall e sistemi di rete esterni, cercando upload inattesi verso indirizzi remoti o download provenienti da infrastrutture sospette. È la stessa distinzione già emersa nelle compromissioni di altri apparati Cisco: quando Secure Firewall Management Center viene raggiunto con privilegi elevati, la patch non basta a dimostrare che persistence e strumenti installati siano scomparsi. Nel caso Secure Email il problema è ancora più evidente perché il gateway può appartenere a un cluster e le chiavi SSH private utilizzate per l’autenticazione tra membri possono diventare accessibili dopo una compromissione.

Nessun workaround: una VM compromessa deve essere ricostruita

Per CVE-2026-76519 non esistono workaround. Se un’appliance virtuale mostra segnali di compromissione, Cisco raccomanda prima di preservare le informazioni forensi e soltanto dopo distribuire una nuova macchina virtuale con software corretto, ricostruire manualmente la configurazione senza importare file dalla vecchia istanza, rinnovare credenziali e materiale crittografico e continuare il monitoraggio. Se un membro di un cluster risulta compromesso, il vendor suggerisce di riportare a uno stato sicuro anche gli altri membri perché le chiavi SSH utilizzate internamente potrebbero essere state sottratte. Per gli apparati fisici sospetti viene invece raccomandato il coinvolgimento diretto del TAC. La procedura è più severa di un normale ciclo di patching perché l’ottenimento di root rompe il presupposto di fiducia dell’appliance. È lo stesso principio applicato nel precedente ciclo Cisco con ISE sfruttata attivamente, dove Matrice Digitale aveva distinto la semplice remediation dalla necessità di verificare una compromissione già avvenuta.

Continua con:

Cisco Secure Email Gateway sotto attacco: una SQL injection porta a root, AWS corregge TEAM

Cisco FMC violata attraverso credenziali statiche e inserita nel catalogo KEV

Secure Email Gateway accumula tre crisi root in meno di un anno

La nuova zero-day pesa soprattutto per la frequenza con cui lo stesso livello infrastrutturale viene raggiunto. A gennaio Cisco aveva corretto CVE-2025-20393, sfruttata dalla fine del 2025 contro Secure Email Gateway e Secure Email and Web Manager; a settembre CVE-2026-76461 aveva nuovamente consentito a una email costruita ad hoc di trasformarsi in esecuzione root; ora CVE-2026-76519 ripropone lo stesso impatto attraverso la gestione degli allegati di AMP. Non significa che le tre vulnerabilità condividano la stessa origine, ma per chi amministra l’infrastruttura il risultato operativo è difficile da ignorare: il sistema che decide quali email possano attraversare il perimetro continua a rappresentare esso stesso una superficie privilegiata di attacco. Cisco dichiara di avere già protetto l’infrastruttura Secure Email Cloud e di avere contattato direttamente i clienti sui cui dispositivi sono stati rilevati indicatori di possibile compromissione. Negli ambienti on-premises la responsabilità resta invece interamente operativa: verificare File Reputation e Content Scanner Tools, aggiornare immediatamente, conservare i log fuori dall’appliance e, quando esiste anche solo un serio sospetto di root compromise, trattare il gateway come un sistema non più affidabile, non semplicemente come un apparato da aggiornare.