Cisco ha segnalato una vulnerabilità sfruttata attivamente in Cisco Secure Email Gateway (SEG) che può consentire a un attaccante remoto, non autenticato, di eseguire comandi con privilegi root.
Cisco classifica CVE-2026-76519 come critica. La vulnerabilità ha un punteggio CVSS v3.1 di 9,8 e il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Il 14 ottobre 2026 Bleeping Computer ha riferito che il team PSIRT di Cisco era venuto a conoscenza di sfruttamento attivo a ottobre. Cisco non ha attribuito l'attività a un attore di minaccia né ha reso nota la sua portata. Dalle informazioni disponibili non risulta inoltre quanti sistemi siano stati compromessi con successo.
Quali sistemi Cisco sono esposti
La falla riguarda la funzione Advanced Malware Protection di Cisco Secure Email Gateway ed è classificata come un problema di path traversal relativo, CWE-23.
Secondo l'avviso di Cisco PSIRT, gli appliance SEG fisici e virtuali risultano vulnerabili solo quando si verificano tutte le condizioni seguenti:
- L'appliance esegue una release AsyncOS vulnerabile di Cisco.
- File Reputation, parte di Cisco AMP, è abilitato e assegnato a una mail policy.
- Content Scanner Tools è precedente alla 25.3.0.5525.
Cisco indica Content Scanner Tools 25.2.0.5427 come esempio di versione vulnerabile.
Cisco Secure Email and Web Manager e Cisco Secure Web Appliance non sono interessati da CVE-2026-76519.
Secondo Bleeping Computer, Shadowserver monitorava quasi 300 istanze SEG esposte su internet. Il dato non indica quanti appliance siano vulnerabili o compromessi e può includere sistemi protetti o honeypot.
Un allegato appositamente costruito può arrivare al sistema operativo sottostante
CVE-2026-76519 deriva da una gestione impropria degli allegati e-mail quando File Reputation è attivo. Un attaccante può sfruttarla inviando un allegato appositamente costruito attraverso un gateway vulnerabile.
Uno sfruttamento riuscito consente scritture arbitrarie di file sul sistema operativo sottostante. Tali scritture possono poi portare all'esecuzione di comandi come root, dando all'attaccante il livello di controllo più alto sull'appliance.
L'attacco non richiede autenticazione né interazione dell'utente. Lo sfruttamento, però, dipende dalla configurazione di elaborazione della posta interessata e dalla versione vulnerabile di Content Scanner Tools.
Gli amministratori possono verificare se File Reputation è abilitato in:
Mail Policies > Incoming Mail Policies > Advanced Malware Protection
oppure in:
Mail Policies > Outgoing Mail Policies > Advanced Malware Protection
Dopo aver selezionato una mail policy, controllare Enable File Reputation.
La versione installata di Content Scanner Tools può essere verificata dalla riga di comando con:
contentscannerstatus
Un'installazione corretta deve riportare 25.3.0.5525 o successiva.
Release corrette e migrazioni necessarie
Cisco afferma che non esistono workaround. Gli amministratori dovrebbero installare una release corretta oppure migrare nei casi in cui il ramo attuale non ha una correzione.
| Ramo AsyncOS | Prima release corretta di Cisco o azione |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Nessuna release corretta; migrare a una release corretta |
| 16.5 | 16.5.0-780 |
| Precedente alla 16.5 | Cisco raccomanda con forza la migrazione alla 16.5.0-780 |
La correzione viene distribuita anche tramite Content Scanner Tools 25.3.0.5525 o successiva alle release AsyncOS con licenza e supportate.
The Hacker News riferisce che Content Scanner Tools può essere aggiornato senza eseguire l'upgrade o riavviare AsyncOS. Gli aggiornamenti automatici dei servizi potrebbero aver già installato il pacchetto corretto. Se non l'hanno fatto, gli amministratori possono eseguire:
contentscannerupdate
Gli aggiornamenti possono essere abilitati anche da Security Services > Service Updates.
Per il ramo 16.0, gli operatori dovrebbero seguire l'indicazione esplicita di Cisco di migrare, senza presumere che una build che corregge un'altra vulnerabilità SEG risolva anche CVE-2026-76519.
Come verificare i segnali di compromissione
Cisco indica agli amministratori di cercare nei log di sistema dell'appliance con:
grep "System Security" system_logs
Nelle implementazioni in cluster, ogni membro va verificato separatamente. Cisco associa i possibili messaggi alle seguenti azioni:
-
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.Cisco considera questo risultato come una compromissione rilevata e indica al cliente di seguire le sue raccomandazioni di ripristino. -
System Security: Security scan did not complete. Contact TAC for further recommendations.Contattare il TAC di Cisco per assistenza. -
System Security: No compromise indicator was found.Aggiornare a una release corretta, ove applicabile.
Un esito locale pulito non sostituisce la revisione della telemetria esterna. Poiché l'accesso root può consentire a un intruso di eliminare o nascondere prove sul gateway, Cisco raccomanda con forza di esaminare i log di firewall e di rete esterni all'appliance. Gli amministratori dovrebbero cercare upload inattesi verso indirizzi IP esterni e download da indirizzi IP malevoli.
Cisco afferma di aver contattato direttamente i clienti di Secure Email Cloud i cui dispositivi mostravano indicatori di possibile compromissione e di stare lavorando alla bonifica e al ripristino. Ha inoltre applicato misure di mitigazione nel proprio ambiente di gestione cloud. Gli amministratori di dispositivi gestiti in cloud potrebbero non disporre di un accesso CLI sufficiente per eseguire autonomamente i controlli lato appliance.
Gli appliance compromessi richiedono una ricostruzione, non solo una patch
Per un appliance fisico con segnali di compromissione, Cisco indica ai clienti di contattare il TAC e di abilitare l'accesso remoto a supporto dell'indagine.
Per gli appliance virtuali, Cisco raccomanda la seguente sequenza:
- Conservare i dati forensi secondo la policy di gestione degli incidenti dell'organizzazione. L'aggiornamento di un'istanza compromessa distrugge log e altre informazioni forensi.
- Distribuire una nuova macchina virtuale con una release corretta.
- Ricostruire la configurazione senza importare file di configurazione dal sistema compromesso.
- Sostituire le credenziali e il materiale crittografico installato sull'appliance.
- Continuare il monitoraggio per rilevare attività anomale.
Le implementazioni in cluster richiedono interventi più ampi. I membri si autenticano tra loro tramite coppie di chiavi SSH, quindi le chiavi private recuperate da un appliance compromesso potrebbero esporre gli altri membri. Cisco raccomanda quindi con forza di ripristinare tutti i membri di un cluster se almeno uno di essi è compromesso.
I sistemi senza sospetti di sfruttamento devono essere aggiornati a una release corretta oppure ricevere Content Scanner Tools 25.3.0.5525 o successiva non appena operativamente possibile.
