Zero-day Cisco Secure Email Gateway: versioni corrette e IoC

La vulnerabilità CVE-2026-76519 di Cisco Secure Email Gateway (SEG), sfruttata come zero-day, permette a un attaccante non autenticato di scrivere file ed eseguire comandi come root inviando un’email con un allegato costruito ad arte: meccanismo, gravità (CVSS 9.8) e inserimento nel catalogo KEV della CISA sono descritti nell’articolo del 14 ottobre. Da allora l’avviso di Cisco, riportato da BleepingComputer e The Register, e l’avviso AV26-1042 del Canadian Centre for Cyber Security hanno aggiunto i dettagli che servono a chi gestisce il gateway: le condizioni esatte di vulnerabilità, le versioni corrette, i messaggi di log che indicano una compromissione e le verifiche da fare dopo l’aggiornamento.

Quando un gateway è vulnerabile

Secondo l’avviso di Cisco, riportato da entrambe le testate, sono colpite le appliance SEG, fisiche e virtuali, con una versione vulnerabile di Cisco AsyncOS quando si verificano entrambe le condizioni:

• il servizio File Reputation, parte di Advanced Malware Protection (AMP), è attivo e assegnato a una policy di posta;
• la versione di Content Scanner Tools è precedente alla 25.3.0.5525.

Per la verifica, BleepingComputer riporta due controlli:

• da riga di comando, contentscannerstatus mostra la versione di Content Scanner Tools in uso;
• nell’interfaccia web, la casella “Enable File Reputation” si trova in Mail Policies > Incoming Mail Policies > Advanced Malware Protection e nel percorso equivalente delle Outgoing Mail Policies. Vanno controllate tutte e due: la condizione vale anche per la posta in uscita.

Versioni corrette

L’avviso AV26-1042 del centro canadese elenca le versioni di riferimento:

• Cisco AsyncOS per Secure Email Gateway: 15.5 precedenti alla 15.5.5-014; 16.5 precedenti alla 16.5.0-780;
• Cisco Secure Email and Web Manager: 15.5 precedenti alla 15.5.5-006; 16.5 precedenti alla 16.5.0-429.

L’avviso canadese parla di vulnerabilità al plurale e rimanda anche alla “Security Hardening Release” di settembre 2026 per SEG e Secure Email and Web Manager. Le due testate, invece, descrivono la CVE-2026-76519 solo per SEG: per il Secure Email and Web Manager conviene verificare nell’avviso di Cisco a quale correzione si riferiscono le versioni indicate.

Secondo The Register non esistono workaround: la falla si chiude solo con l’aggiornamento di AsyncOS. Cisco raccomanda a chi usa versioni precedenti alla 16.5 di passare alla 16.5.0-780.

Indicatori di compromissione

Cisco non ha descritto gli attacchi, ma secondo BleepingComputer ha pubblicato i messaggi di log che il gateway mostra dopo un controllo di sicurezza, con l’azione da intraprendere:

• System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.: compromissione rilevata, vanno seguite le raccomandazioni dell’avviso;
• System Security: Security scan did not complete. Contact TAC for further recommendations.: controllo non completato, va contattato il supporto tecnico di Cisco (TAC);
• System Security: No compromise indicator was found.: nessuna compromissione rilevata, va installata la versione corretta se necessario.

Cisco avverte anche che un attaccante con esecuzione di comandi come root può cancellare le tracce dello sfruttamento sull’appliance. Per questo chiede di incrociare i log dei firewall e della rete alla ricerca di attività sospette, come download e upload da e verso indirizzi IP esterni o sospetti. In termini MITRE ATT&CK, oltre allo sfruttamento iniziale (T1190, Exploit Public-Facing Application), la cancellazione delle tracce rientrerebbe in T1070 (Indicator Removal): le fonti la indicano come possibilità, non come fatto osservato.

Istanze cloud e clienti contattati

Secondo BleepingComputer, Cisco ha già applicato mitigazioni alle istanze cloud e ha contattato i clienti di Cisco Secure Email Cloud per cui ha trovato prove di una possibile compromissione. A loro raccomanda di riportare il dispositivo a una configurazione sicura rinnovando credenziali e materiale crittografico installato sull’appliance e di limitare l’accesso al gateway con controlli robusti.

Un portavoce di Cisco ha detto a The Register che la vulnerabilità riguarda “un numero limitato di clienti”, senza dire quante appliance siano state compromesse né cosa abbiano fatto gli attaccanti dopo l’accesso. Cisco ha saputo dello sfruttamento attivo a ottobre 2026.

Esposizione e contesto

BleepingComputer cita i dati di Shadowserver: quasi 300 istanze di Cisco Secure Email Gateway esposte su Internet, senza indicare quante siano honeypot o già aggiornate.

È il secondo zero-day di SEG in due mesi: a metà settembre Cisco aveva segnalato lo sfruttamento della CVE-2026-76461, nell’analisi delle email di AsyncOS, che porta anch’essa a comandi come root. In precedenza la CVE-2025-20393 di AsyncOS è stata sfruttata contro le appliance SEG e Secure Email and Web Manager: secondo BleepingComputer dal novembre 2025, con correzione a gennaio; secondo The Register gli attaccanti l’hanno usata per installare meccanismi di persistenza.

Per le aziende europee e italiane la ripetizione conta: il gateway di posta è esposto per definizione e a più riprese è stato il punto d’ingresso. Per i soggetti NIS2 è un sistema da trattare come critico nella gestione delle vulnerabilità, con controlli di compromissione documentati dopo ogni aggiornamento.

Cosa fare subito

1. Verifica le due condizioni su ogni gateway: contentscannerstatus per Content Scanner Tools e la casella “Enable File Reputation” nelle policy in ingresso e in uscita.
2. Aggiorna AsyncOS alla 15.5.5-014 o alla 16.5.0-780 (dalle versioni precedenti alla 16.5, alla 16.5.0-780). Non ci sono workaround.
3. Controlla i messaggi System Security e, se indicano una compromissione sospetta o un controllo non completato, contatta il TAC.
4. Incrocia i log dei firewall e della rete, che l’attaccante non può cancellare dal gateway: trasferimenti da e verso IP esterni o sospetti.
5. Se c’è una compromissione o Cisco ti ha contattato: rinnova credenziali, chiavi e certificati installati sull’appliance e limita l’accesso alla gestione.
6. Per Secure Email and Web Manager, verifica nell’avviso di Cisco le versioni da installare.

Come aiuta ARXDOME

ARX Sentry raccoglie i log dei firewall in un collettore centrale, fuori dal gateway: le connessioni da e verso l’appliance restano disponibili anche se le tracce locali vengono cancellate. ARX Horizon arricchisce gli indirizzi IP con le liste di minacce, ARX Expose segnala i servizi di posta esposti su Internet e le loro vulnerabilità note.

Ultimo aggiornamento: 15 ottobre 2026