Cisco Secure Email Gateway: path traversal sfruttata, CVSS 9.8

📌 Sviluppi successivi: Zero-day Cisco Secure Email Gateway: versioni corrette e IoC (14 ottobre 2026)

Il 14 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2026-76519, una vulnerabilità di Cisco Secure Email Gateway nella funzione Advanced Malware Protection (AMP). Un attaccante remoto e non autenticato può scrivere file arbitrari sul sistema operativo del gateway ed eseguire comandi con privilegi di root, inviando un’email con un allegato costruito ad arte. La gravità è critica: CVSS 3.1 9.8.

L’ingresso nel catalogo KEV indica che la CISA ha prove di sfruttamento attivo. Lo stesso giorno anche l’NCSC-NL, il centro nazionale per la cybersicurezza dei Paesi Bassi, ha pubblicato un avviso sulla vulnerabilità.

Cosa è successo

La CISA ha inserito la CVE-2026-76519 nel KEV con la descrizione “Cisco Secure Email Gateway Relative Path Traversal Vulnerability” e ha fissato al 17 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Per i servizi cloud valgono le indicazioni della stessa direttiva; se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

L’avviso dell’NCSC-NL (NCSC-2026-0429) è classificato [H/H], cioè probabilità e impatto alti nella scala dell’ente, e il suo titolo indica che la vulnerabilità è stata corretta. Il testo completo dell’avviso olandese non era disponibile al momento della stesura.

Né la CISA né la scheda NVD forniscono dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2026-76519, pubblicata il 14 ottobre 2026. La scheda NVD è in stato “Undergoing Analysis”: il NIST non ha ancora completato la sua valutazione.
• Prodotto: Cisco Secure Email Gateway, funzione Advanced Malware Protection (AMP). L’avviso di Cisco ha identificativo cisco-sa-esa-afw-zqYJkjxp ed è tra i riferimenti della scheda NVD.
• Condizione: secondo la descrizione, il problema nasce dalla gestione errata degli allegati email quando è attivo il servizio di file reputation.
• Meccanismo: l’attaccante invia attraverso il gateway un’email con un allegato costruito ad arte. Se lo sfruttamento riesce, può scrivere file arbitrari sul sistema operativo sottostante ed eseguire comandi con privilegi di root.
• Gravità: CVSS 3.1 9.8 (critica), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, valutazione fornita da Cisco. Il vettore indica un attacco via rete, di bassa complessità, senza privilegi e senza interazione dell’utente: non serve che qualcuno apra l’allegato, perché a elaborarlo è il gateway stesso.
• Debolezza: CWE-23 (Relative Path Traversal), cioè l’uso di sequenze di percorso relative per scrivere fuori dalla cartella prevista.
• Versioni: le fonti disponibili non elencano le versioni colpite né quelle corrette. Il riferimento è l’avviso di Cisco.
• Indicatori di compromissione: nessuno pubblicato nelle fonti.
• MITRE ATT&CK: per un gateway che riceve posta da Internet lo sfruttamento corrisponde alla tecnica T1190, Exploit Public-Facing Application.

Impatto per le aziende europee e italiane

Il gateway di posta è il primo sistema che riceve le email dirette all’azienda, ed è per definizione raggiungibile da Internet. Secondo la descrizione, all’attaccante basta far passare dal gateway un’email con l’allegato costruito ad arte: non servono credenziali né un errore di un dipendente. Una compromissione con privilegi di root proprio nel punto da cui passa la posta in ingresso va verificata con priorità, oltre ad aggiornare.

La funzione colpita, l’analisi degli allegati con la file reputation, è quella che si attiva proprio per proteggersi dal malware via email: le aziende che l’hanno accesa sono quelle che rientrano nella condizione descritta.

Per i soggetti NIS2 la vulnerabilità rientra nella gestione delle vulnerabilità con priorità e tempi documentati; se il gateway è gestito da un fornitore, la verifica va fatta con lui. Un incidente significativo va notificato al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Se la compromissione tocca email con dati personali, va valutata anche come violazione secondo il GDPR, con l’eventuale notifica al Garante entro 72 ore. Nella sanità, dove la posta trasporta spesso referti e dati sulla salute, la verifica va fatta senza attendere.

Cosa fare subito

1. Fai l’inventario dei Cisco Secure Email Gateway, compresi quelli gestiti da fornitori, e della versione di ciascuno.
2. Verifica la configurazione: controlla se è attiva la funzione AMP con il servizio di file reputation, la condizione indicata dalla descrizione della CVE.
3. Applica le istruzioni di Cisco: segui l’avviso cisco-sa-esa-afw-zqYJkjxp per le versioni corrette e le eventuali mitigazioni. Se intendi cambiare la configurazione di AMP come misura temporanea, verifica prima nell’avviso di Cisco se è un workaround indicato dal produttore.
4. Se non puoi intervenire subito: come chiede la CISA, se le mitigazioni non sono disponibili valuta di togliere il dispositivo dal servizio.
5. Cerca tracce di sfruttamento: dato che la vulnerabilità è già sfruttata, non basta aggiornare. Controlla file creati o modificati in modo inatteso sul gateway, processi e comandi insoliti, connessioni in uscita anomale e messaggi con allegati insoliti nei log di posta; usa le procedure di verifica fornite da Cisco, se presenti.
6. Se trovi segni di compromissione: conserva log e prove per l’analisi forense prima di reinstallare, poi cambia credenziali, chiavi e certificati configurati sul gateway.

Come aiuta ARXDOME

ARX Expose controlla i servizi che la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note, compresi i sistemi di posta raggiungibili da fuori. ARX Sentry raccoglie log ed eventi da server e firewall in un collettore centrale, così le connessioni anomale da e verso il gateway restano registrate anche fuori dal dispositivo. ARX Horizon arricchisce gli eventi con le liste di minacce e le informazioni sulle vulnerabilità.

Ultimo aggiornamento: 14 ottobre 2026