CVE-2026-76519: Path traversal in Cisco Secure Email Gateway sfruttata attivamente - aggiornamento e verifica della compromissione

Il 14 ottobre 2026 Cisco ha pubblicato l’advisory cisco-sa-esa-afw-zqYJkjxp relativo a una vulnerabilità critica nella funzione Advanced Malware Protection (AMP) di Cisco Secure Email Gateway. Se il servizio File Reputation è attivo, il gateway elabora in modo errato gli allegati e-mail: un aggressore non autenticato può, tramite un’e-mail con allegato appositamente predisposto, scrivere file arbitrari nel sistema operativo sottostante ed eseguire comandi con privilegi root. La vulnerabilità è identificata come CVE-2026-76519 e ha un punteggio CVSS di 9.8. Cisco è venuta a conoscenza dello sfruttamento attivo nell’ottobre 2026; l’agenzia statunitense CISA ha inserito la vulnerabilità nel proprio catalogo delle vulnerabilità sfruttate (KEV) il 14 ottobre 2026. Il problema è risolto con Content Scanner Tools dalla versione 25.3.0.5525 e in AsyncOS 15.5.5-014 e 16.5.0-780; secondo Cisco non esiste alcun workaround.

I punti principali in breve

Versioni interessate e aggiornamenti

Secondo Cisco, un dispositivo è vulnerabile solo se sono soddisfatte entrambe le condizioni: File Reputation è attivo e assegnato a una Mail Policy, e i Content Scanner Tools installati sono antecedenti alla versione 25.3.0.5525. Cisco distribuisce la correzione tramite il pacchetto Content Scanner Tools a tutte le versioni AsyncOS con licenza e supportate; inoltre, Cisco indica versioni AsyncOS corrette.

Per i sistemi con una versione AsyncOS precedente alla 16.5, Cisco raccomanda la migrazione alla 16.5.0-780. Cisco aveva già indicato le stesse versioni AsyncOS come corrette il 14 settembre 2026 nell’advisory di hardening cisco-sa-hardening-esa-dfCrfXkm; il 14 ottobre 2026 tale advisory è stato integrato con un riferimento al fatto che una vulnerabilità di path traversal (CWE-23) trattata al suo interno è sfruttata attivamente. Chi ha già aggiornato a 15.5.5-014 o 16.5.0-780 dopo la vulnerabilità CVE-2026-76461 a settembre utilizza quindi una versione che Cisco indica come corretta. Secondo l’advisory, i clienti di Cisco Secure Email Cloud Gateway non devono fare nulla, poiché Cisco ha già distribuito i Content Scanner Tools corretti.

La CLI mostra la versione AsyncOS installata con:

version

La versione dei Content Scanner Tools viene mostrata con:

contentscannerstatus

Come esempio di output vulnerabile, Cisco cita Content Scanner Tools 25.2.0.5427.15.5.001 Never updated. L’interfaccia web mostra se File Reputation è attivo in Mail Policies > Incoming Mail Policies oppure Outgoing Mail Policies, in Advanced Malware Protection: per ogni policy occorre verificare se Enable File Reputation è attivo.

Cosa si sa sullo sfruttamento

Cisco scrive nell’advisory che il Cisco PSIRT è venuto a conoscenza dello sfruttamento attivo nell’ottobre 2026. Secondo l’advisory, la vulnerabilità è stata scoperta durante un test interno di sicurezza di Cisco. I clienti di Secure Email Cloud sui cui dispositivi Cisco ha rilevato possibili indicatori di compromissione sono stati contattati direttamente; Cisco dichiara di lavorare alla correzione e al ripristino.

Né Cisco né CISA forniscono informazioni sull’aggressore, sul numero di organizzazioni coinvolte o sull’inizio esatto degli attacchi (al 15 ottobre 2026). Nel record KEV, CISA indica come sconosciuto se la vulnerabilità venga utilizzata in campagne ransomware. CISA richiede alle agenzie federali statunitensi, entro il 17 ottobre 2026, di applicare le misure del produttore, effettuare un triage forense e valutare l’esposizione a Internet; se non è disponibile una mitigazione, il prodotto deve essere ritirato dal servizio.

Il vettore d’attacco è il normale flusso di posta: l’e-mail con l’allegato appositamente predisposto deve soltanto transitare attraverso il gateway. Bloccare l’interfaccia di amministrazione da Internet non impedisce quindi lo sfruttamento.

Misure immediate

1. Inventariare: determinare la versione AsyncOS con version, la versione del Content Scanner con contentscannerstatus e lo stato di File Reputation in tutte le Mail Policies. Per i cluster, questo vale per ogni membro.

2. Verificare la compromissione prima dell’aggiornamento (vedere la sezione successiva) e mettere al sicuro i dati forensi. Cisco segnala che l’aggiornamento di un’istanza virtuale compromessa può distruggere dati forensi e log.

3. Aggiornare i Content Scanner Tools: la correzione è inclusa dalla versione 25.3.0.5525; secondo Cisco non è necessario un riavvio. La CLI avvia manualmente l’aggiornamento con:

   contentscannerupdate

   Gli aggiornamenti automatici possono essere attivati nell’interfaccia web in Security Services > Service Updates tramite Edit Update Settings; la modifica deve poi essere applicata con Commit. Verificare quindi la versione con contentscannerstatus.

4. Aggiornare AsyncOS: alla versione 15.5.5-014 o 16.5.0-780; secondo Cisco, migrare i sistemi su 16.0 e precedenti alla 16.5.0-780.

5. Ridurre l’esposizione: nell’advisory Cisco indica misure generali di hardening, tra cui impedire l’accesso da Internet, collocare amministrazione e traffico e-mail su interfacce separate, disabilitare servizi non necessari come HTTP e FTP, utilizzare autenticazione forte (SAML o LDAP), modificare le password predefinite e inviare i log a un server esterno. Queste misure riducono la superficie d’attacco, ma non chiudono la vulnerabilità nel flusso di posta. Cisco non indica la disattivazione di File Reputation come workaround.

6. Monitorare l’advisory: Cisco integra l’advisory quando emergono nuove informazioni; la cronologia delle revisioni è riportata alla fine dell’advisory.

Verifica della compromissione

Cisco raccomanda di controllare i log di sistema sul dispositivo con il seguente comando:

grep "System Security" system_logs

Cisco classifica così i possibili messaggi:

Se il dispositivo fa parte di un cluster, secondo Cisco devono essere controllati i log di ogni membro del cluster. Un risultato senza corrispondenze non dimostra che il sistema sia pulito: un aggressore con privilegi root può rimuovere o nascondere le tracce sul dispositivo. Cisco raccomanda quindi di confrontare i log di rete e firewall esterni al dispositivo, in particolare cercando upload sospetti dal gateway verso indirizzi IP esterni e download da indirizzi IP esterni. Cisco non indica nell’advisory indirizzi IP, nomi di file o valori hash specifici.

Un aggiornamento non rimuove le modifiche già apportate da un aggressore. In caso di sospetto, Cisco raccomanda quanto segue, a seconda della distribuzione:

1. Appliance fisiche: contattare Cisco TAC e lasciare abilitato l’accesso remoto sui dispositivi interessati, affinché l’indagine possa procedere più rapidamente.

2. Appliance virtuali: prima mettere al sicuro le informazioni forensi conformemente alle proprie linee guida sugli incidenti, predisporre una nuova macchina virtuale con una versione corretta, ricostruire la configurazione senza importare precedenti file di configurazione, rinnovare credenziali e tutto il materiale crittografico e continuare a monitorare il sistema per rilevare anomalie.

3. Cluster: i membri del cluster si autenticano reciprocamente tramite coppie di chiavi SSH. Su un’appliance compromessa è possibile leggere le chiavi private, il che può consentire l’accesso ad altri membri del cluster. Cisco raccomanda di riportare a una configurazione sicura ogni membro di un cluster con almeno un’appliance compromessa.

4. Secure Email Cloud: secondo Cisco, i clienti contattati devono rinnovare credenziali e materiali crittografici.

Contesto

Sono interessate le organizzazioni che utilizzano Cisco Secure Email Gateway con File Reputation attivo come gateway di posta davanti al proprio mail server. Poiché l’attacco avviene tramite il flusso di posta in entrata, ogni installazione di questo tipo che accetta e-mail dall’esterno e utilizza ancora Content Scanner Tools meno recenti è attaccabile. Il gateway elabora tutti i messaggi di un’organizzazione e conserva credenziali e materiale di chiave; l’esecuzione di comandi come root consente a un aggressore di accedere a entrambi. Secondo BleepingComputer, Shadowserver rileva quasi 300 istanze di Cisco Secure Email Gateway raggiungibili da Internet.

CVE-2026-76519 è la seconda vulnerabilità sfruttata in Cisco Secure Email Gateway nell’arco di un mese: a settembre CVE-2026-76461 riguardava l’elaborazione delle e-mail di AsyncOS (CVE-2026-76461: Cisco Secure Email Gateway SQL injection). Secondo BleepingComputer, inoltre, la vulnerabilità AsyncOS CVE-2025-20393 è stata sfruttata dal novembre 2025 e corretta a gennaio. Il Canadian Cyber Centre ha avvertito riguardo a CVE-2026-76519 il 14 ottobre 2026 con AV26-1042.