Il 14 ottobre 2026, BleepingComputer, in un articolo scritto da Sergiu Gatlan, ha riferito che Cisco sta affrontando una vulnerabilità zero-day critica nel suo Secure Email Gateway (SEG), attualmente sfruttata in attacchi reali. La falla, identificata come CVE-2026-76519, consente ad attaccanti remoti non autenticati di eseguire comandi con privilegi di root sui dispositivi vulnerabili, semplicemente inviando un'email con un allegato malevolo tramite un dispositivo non aggiornato.
Dettagli tecnici
La vulnerabilità è una falla di traversamento di percorso relativo nella funzione Advanced Malware Protection (AMP) di SEG, causata da una gestione inadeguata degli allegati email. "A successful exploit could allow the attacker to write arbitrary files and execute commands with root privileges on the underlying operating system," ha spiegato Cisco, aggiungendo che i comandi possono essere eseguiti nel contesto dell'utente di root. Cisco PSIRT (Product Security Incident Response Team) ha preso atto dell'attività di sfruttamento attivo della vulnerabilità a ottobre 2026.
Chi è vulnerabile?
La vulnerabilità riguarda un sottoinsieme di istanze di SEG dove il servizio File Reputation è abilitato e assegnato a una politica di posta, e la versione degli strumenti di scansione dei contenuti è precedente alla 25.3.0.5525. Gli amministratori possono verificare se i loro sistemi sono vulnerabili utilizzando il comando CLI contentscannerstatus per controllare la versione degli strumenti di scansione dei contenuti e ispezionando la casella "Enable File Reputation" nelle politiche di posta in entrata e in uscita.
Indicatori di compromissione (IOCs)
Cisco ha fornito un elenco di messaggi di log che potrebbero essere indicatori di compromissione, insieme a azioni raccomandate per la gestione della sicurezza. L'azienda raccomanda ai clienti di contattare il Cisco Technical Assistance Center (TAC) per ulteriori raccomandazioni e di controllare i log del firewall e della rete per attività sospette.
Mitigazioni e azioni correttive
Cisco ha già implementato mitigazioni su istanze cloud e ha contattato i proprietari dei dispositivi Cisco Secure Email Cloud dove sono state trovate evidenze di potenziale compromissione. "Cisco strongly recommends that customers who have been contacted restore a device to a secure configuration by renewing credentials and any cryptographic materials that are installed on the appliance, when possible," ha affermato l'azienda, aggiungendo che la rotazione delle credenziali e dei materiali crittografici è essenziale per ridurre il rischio di abuso di credenziali compromesse. Cisco raccomanda anche di limitare l'accesso all'apparecchio e di implementare meccanismi di controllo degli accessi robusti. Shadowserver ha affermato di monitorare quasi 300 istanze di Cisco Secure Email Gateway esposte online, senza specificare quante siano honeypots o già protette.
Vulnerabilità precedente
Questa non è la prima volta che Cisco affronta una vulnerabilità critica di SEG. A luglio 2024, l'azienda ha emesso un advisory per un'altra vulnerabilità critica di Secure Email Gateway, CVE-2024-20401.