Segui Cisco ha corretto CVE-2026-76519, una vulnerabilità zero-day critica che interessa Cisco Secure Email Gateway (SEG) e che è già stata sfruttata in attacchi reali. Il difetto ha un punteggio CVSS di 9,8 e consente a un attaccante remoto non autenticato di scrivere file arbitrari ed eseguire comandi con privilegi di root su dispositivi vulnerabili.
La vulnerabilità risiede nella funzionalità di Advanced Malware Protection (AMP) di Cisco Secure Email Gateway e deriva da una gestione impropria degli allegati email quando il servizio File Reputation è abilitato. Un attaccante può sfruttare il problema semplicemente inviando un’email contenente un allegato appositamente creato attraverso un gateway interessato, senza necessitare di credenziali o interazione dell’utente.
Cisco ha divulgato la vulnerabilità il 14 ottobre 2026, dopo che il suo Product Security Incident Response Team (PSIRT) è venuto a conoscenza di uno sfruttamento attivo durante ottobre. La società non ha rivelato chi siano gli autori degli attacchi, quanti dispositivi siano stati compromessi, o cosa abbiano fatto gli attaccanti una volta ottenuto l’accesso.
La vulnerabilità è particolarmente preoccupante perché i dispositivi Secure Email Gateway sono posizionati direttamente nell’infrastruttura email aziendale. La compromissione con successo con privilegi di root può fornire agli attaccanti un controllo esteso sul dispositivo di sicurezza, accesso a credenziali e materiale crittografico, e potenzialmente un percorso verso ulteriori sistemi.
CISA ha aggiunto il difetto al suo catalogo di Vulnerabilità Conosciute Sfruttate, richiedendo alle agenzie civili federali degli Stati Uniti di affrontarlo entro il 17 ottobre 2026.
Le organizzazioni possono sfruttare la piattaforma AI-Native Detection Intelligence di SOC Prime per rafforzare le loro difese contro le vulnerabilità emergenti e accelerare la caccia alle minacce, l’indagine e l’ingegneria della rilevazione attraverso ambienti SIEM, EDR, XDR e Data Lake.
I professionisti della sicurezza possono anche utilizzare Prime Architect per trasformare l’intelligence sulle minacce emergenti in logica di riconoscimento, convertire indicatori in query di hunting, affinare le regole esistenti, e adattare le rilevazioni alla telemetria della loro organizzazione.
Analisi di CVE-2026-76519
CVE-2026-76519 colpisce i dispositivi fisici e virtuali Cisco Secure Email Gateway che eseguono release vulnerabili di Cisco AsyncOS quando sono presenti due condizioni specifiche: il servizio File Reputation è abilitato e assegnato a una politica di posta, e la versione installata di Content Scanner Tools è precedente alla 25.3.0.5525.
Cisco classifica la vulnerabilità come CWE-23, Traversata del Percorso Relativo. L’elaborazione impropria degli allegati email nella funzionalità Advanced Malware Protection consente a un allegato appositamente creato di manipolare i percorsi dei file e causare la scrittura di file arbitrari nel sistema operativo sottostante del dispositivo.
L’attacco non richiede autenticazione. Un attore malevolo deve solo inviare un’email contenente l’allegato dannoso attraverso un gateway vulnerabile. Nessun destinatario deve aprire il messaggio o interagire con l’allegato affinché il gateway stesso elabori il contenuto.
Uno sfruttamento riuscito può progredire oltre la creazione arbitraria di file. Cisco conferma che gli attaccanti possono utilizzare la debolezza per eseguire comandi con privilegi di root sul sistema operativo, fornendo effettivamente il controllo completo sul dispositivo compromesso.
La vulnerabilità ha ricevuto un punteggio CVSS 3.1 di 9,8 con il vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La combinazione di accessibilità remota, bassa complessità dell’attacco, nessun privilegio richiesto e nessuna interazione utente spiega il suo rating critico.
Cisco Secure Email and Web Manager e Cisco Secure Web Appliance non sono interessati da questa vulnerabilità. Gli ambienti Cisco Secure Email Cloud hanno già ricevuto il pacchetto corretto di Content Scanner Tools attraverso il processo di aggiornamento gestito da Cisco.
L’azienda ha scoperto il difetto durante la scansione interna della sicurezza. Sebbene l’avviso dedicato sia stato rilasciato il 14 ottobre, Cisco aveva già spedito le release corrette di AsyncOS 15.5.5-014 e 16.5.0-780 come parte del rilascio di rafforzamento della sicurezza del 14 settembre. Il difetto specifico ha ricevuto il suo proprio CVE e avviso dopo che Cisco ha confermato lo sfruttamento nella selvaggia.
Questa non è la prima vulnerabilità attivamente sfruttata di Secure Email Gateway divulgata recentemente. A settembre 2026, Cisco ha corretto CVE-2026-76461, un altro difetto innescato attraverso l’elaborazione dannosa delle email che potrebbe portare a esecuzione di comandi non autenticati con privilegi di root. Cisco non ha collegato le due campagne di sfruttamento.
Al momento della scrittura, Cisco e i rapporti di riferimento non hanno documentato un PoC pubblicamente validato per CVE-2026-76519. Tuttavia, lo sfruttamento attivo significa che i difensori dovrebbero considerare i dispositivi vulnerabili a rischio immediato, indipendentemente dalla disponibilità di codice di exploit pubblici.
Per il rilevamento di CVE-2026-76519, Cisco fornisce un controllo di sicurezza integrato che gli amministratori possono eseguire contro i system_logs del dispositivo. Le organizzazioni dovrebbero anche esaminare la telemetria della rete esterna e del firewall perché gli attaccanti con privilegi di root potrebbero essere in grado di rimuovere o nascondere le prove direttamente su un gateway compromesso.
Mitigazione di CVE-2026-76519
Cisco ha rilasciato delle correzioni e afferma che non esiste una soluzione alternativa che indirizzi completamente la vulnerabilità. Le organizzazioni che gestiscono distribuzioni di Secure Email Gateway interessate dovrebbero pertanto applicare il pacchetto aggiornato di Content Scanner Tools o migrare a una release corretta di AsyncOS senza indugio.
Le prime release corrette includono:
- AsyncOS 15.5: 15.5.5-014
- AsyncOS 16.0: migrare a una release corretta
- AsyncOS 16.5: 16.5.0-780
- Content Scanner Tools: 25.3.0.5525 o successivi
Cisco raccomanda che le organizzazioni che eseguono release di AsyncOS precedenti alla 16.5 migrino alla versione 16.5.0-780. È importante notare che l’aggiornamento di Content Scanner Tools può anche correggere le installazioni supportate senza richiedere un aggiornamento AsyncOS o un riavvio del dispositivo.
Gli amministratori possono verificare il pacchetto scanner attualmente installato eseguendo contentscannerstatus dalla CLI. I sistemi che riportano Content Scanner Tools precedente alla 25.3.0.5525 rimangono esposti quando File Reputation è attivo.
I clienti che hanno abilitato gli aggiornamenti automatici di Content Scanner Tools dovrebbero verificare che la versione 25.3.0.5525 o successiva sia stata effettivamente installata. Dove gli aggiornamenti automatici sono disabilitati, gli amministratori possono attivare l’aggiornamento manualmente utilizzando il comando contentscannerupdate.
Per rilevare i tentativi di sfruttamento di CVE-2026-76519, Cisco consiglia di rivedere i system_logs per il suo System Security compromise scan. Gli amministratori possono usare grep “System Security” system_logs e dovrebbero eseguire questo controllo individualmente su ogni dispositivo di Secure Email Gateway appartenente a un cluster.
Una voce di log che afferma System Security: Indicatore di compromissione sospetto è stato trovato indica che artefatti di compromissione sono stati rilevati e le organizzazioni dovrebbero seguire le linee guida di risposta agli incidenti di Cisco e contattare Cisco TAC. Un messaggio che afferma che la scansione di sicurezza non è stata completata richiede anche un’escalation a TAC.
Questi messaggi forniti da Cisco rappresentano gli IOCs primari CVE-2026-76519 pubblicati dal venditore. Tuttavia, una scansione locale pulita non può escludere definitivamente la compromissione perché gli attaccanti di successo operano con privilegi di root e possono rimuovere o nascondere prove.
Cisco consiglia quindi di rivedere la telemetria del firewall e della rete memorizzata al di fuori del dispositivo per attività sospette, inclusi caricamenti inaspettati avviati dal gateway, download insoliti da infrastruttura esterna e connessioni anomale che coinvolgono indirizzi IP potenzialmente dannosi.
La risposta agli incidenti differisce a seconda del tipo di dispositivo. Per i dispositivi fisici potenzialmente compromessi, Cisco consiglia di contattare TAC. Per i dispositivi virtuali, i difensori dovrebbero preservare le prove forensi prima di apportare modifiche perché l’aggiornamento di un sistema già compromesso può distruggere log e artefatti rilevanti.
Cisco raccomanda di ricostruire i dispositivi virtuali compromessi utilizzando una release software corretta piuttosto che semplicemente aggiornarli sul posto. Gli amministratori dovrebbero ricostruire la configurazione senza importare il file di configurazione precedente e rinnovare credenziali e materiali crittografici memorizzati sul dispositivo.
Le organizzazioni che utilizzano distribuzioni in cluster di Secure Email Gateway richiedono particolare cautela. I membri del cluster si autenticano tra loro utilizzando coppie di chiavi SSH, e la compromissione a livello di root può esporre le chiavi private utilizzate per questa comunicazione. Un attaccante che ottiene quelle chiavi può potenzialmente estendere l’accesso ai membri aggiuntivi del cluster.
La piattaforma AI-Native Detection Intelligence di SOC Prime può aiutare i team di sicurezza a operativizzare l’intelligence emergente sulle vulnerabilità attivamente sfruttate e accelerare la caccia ai profili di minaccia comportamentali attraverso email, rete, endpoint e telemetria di infrastruttura.
FAQ
Cos’è CVE-2026-76519 e come funziona?
CVE-2026-76519 è una vulnerabilità critica di traversal del percorso relativo nella funzionalità Advanced Malware Protection di Cisco Secure Email Gateway. Un attaccante non autenticato può inviare un allegato email appositamente creato tramite un dispositivo vulnerabile, causando la scrittura di file arbitrari nel sistema operativo e potenzialmente abilitando l’esecuzione di comandi con privilegi di root.
Quando è stata scoperta per la prima volta CVE-2026-76519?
Cisco ha scoperto la vulnerabilità attraverso la scansione interna della sicurezza, ma la società non ha divulgato la data precisa della scoperta. Le correzioni erano già incluse nelle release di rafforzamento della sicurezza pubblicate il 14 settembre 2026. Cisco ha emesso un avviso dedicato il 14 ottobre dopo che PSIRT è stato a conoscenza di uno sfruttamento attivo.
Qual è l’impatto di CVE-2026-76519 sui sistemi?
Lo sfruttamento riuscito può dare a un attaccante remoto non autenticato l’esecuzione di comandi a livello di root su Secure Email Gateway. Questo potrebbe permettere la modifica del dispositivo, il furto di credenziali o chiavi crittografiche, la persistenza, la manipolazione delle funzioni di sicurezza delle email, la rimozione delle prove forensi e una compromissione potenziale ulteriore di sistemi connessi o in cluster.
CVE-2026-76519 può ancora colpirmi nel 2026?
Sì. I dispositivi Cisco Secure Email Gateway fisici o virtuali rimangono vulnerabili quando File Reputation è abilitato e assegnato a una politica mail e la loro versione di Content Scanner Tools è precedente alla 25.3.0.5525. Il rischio è immediato perché Cisco ha confermato lo sfruttamento attivo e CISA ha aggiunto la vulnerabilità al suo catalogo KEV.
Come posso proteggermi da CVE-2026-76519?
Aggiorna a una release fissa di AsyncOS o installa Content Scanner Tools 25.3.0.5525 o successivi. Verifica l’aggiornamento piuttosto che presumere che il deploy automatico sia riuscito, esegui il controllo di compromissione di System Security di Cisco e indaga sulla telemetria della rete esterna per attività sospette. Se si sospetta una compromissione, preserva le prove forensi prima di eseguire la remedi e segui gli ultimi dettagli di Cisco per CVE-2026-76519.
