Cisco, falla critica nel Secure Email Gateway già sfruttata: come aggiornare
Il 14 ottobre 2026 Cisco ha pubblicato l’advisory cisco-sa-esa-afw-zqYJkjxp sulla vulnerabilità CVE-2026-76519, classificata Critical. Riguarda la funzione Advanced Malware Protection (AMP) di Cisco Secure Email Gateway e permette a un aggressore remoto non autenticato di scrivere file arbitrari sul sistema operativo sottostante. Secondo Cisco basta far transitare dal dispositivo un’email con un allegato costruito ad arte, e l’exploit può portare a eseguire comandi con privilegi root. Secondo Cisco, il suo PSIRT ha avuto notizia di uno sfruttamento attivo nell’ottobre 2026. Le correzioni esistono, i workaround no.
Cosa succede e chi è a rischio
Per la falla Cisco indica un punteggio CVSS base di 9.8 (vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), la weakness CWE-23 e il bug ID CSCwu56223. La causa è la gestione impropria degli allegati email quando il servizio di File Reputation è attivo. Cisco precisa che il problema è stato trovato in scansioni di sicurezza interne.
Sono vulnerabili i Secure Email Gateway, sia fisici sia virtuali, con una release vulnerabile di Cisco AsyncOS, ma solo se sono vere entrambe le condizioni seguenti:
- il servizio File Reputation, parte di Cisco AMP, è abilitato e assegnato a una mail policy;
- la versione dei Content Scanner Tools è precedente alla 25.3.0.5525.
Cisco ha confermato che Secure Email and Web Manager e Secure Web Appliance non sono interessati.
Come controllare se sei esposto
- File Reputation: dall’interfaccia web si va in Mail Policies > Incoming Mail Policies (oppure Outgoing Mail Policies) > Advanced Malware Protection, si sceglie una policy e si controlla la casella Enable File Reputation. Se è spuntata, il servizio è attivo.
- Content Scanner Tools: da CLI si usa il comando
contentscannerstatus. Nell’esempio dell’advisory la versione vulnerabile è 25.2.0.5427.15.5.001.
La correzione: Content Scanner Tools e release AsyncOS
La correzione arriva in due modi. Il primo è un aggiornamento del pacchetto Content Scanner Tools, distribuito a tutte le release AsyncOS con licenza e supporto: le versioni 25.3.0.5525 e successive contengono il fix. Secondo Cisco non richiede un upgrade software né il riavvio del prodotto. Chi ha gli aggiornamenti automatici attivi non deve intervenire una volta applicato l’aggiornamento; chi li ha disattivati deve aggiornare manualmente.
Per l’aggiornamento manuale si usa da CLI il comando contentscannerupdate. Per attivare quello automatico, dall’interfaccia web: Security Services > Service Updates > Edit Update Settings, spuntare Automatic Updates, premere Submit, scegliere Commit Changes in alto a destra e premere nuovamente Commit Changes per confermare. Per chi usa Cisco Secure Email Cloud Gateway non serve alcuna azione: Cisco dichiara di aver protetto l’infrastruttura e distribuito la versione corretta dei Content Scanner Tools.
Le release AsyncOS corrette
Il secondo modo è passare a una release AsyncOS che include la correzione. Cisco raccomanda a chi usa release precedenti alla 16.5 di migrare alla 16.5.0-780.
| Release AsyncOS per Secure Email Gateway | Prima release corretta |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Migrare a una release corretta |
| 16.5 | 16.5.0-780 |
Come capire se sei stato compromesso
Per cercare tracce di sfruttamento Cisco indica, da CLI, grep "System Security" system_logs, su ogni nodo se il dispositivo fa parte di un cluster. I messaggi possibili hanno tre significati:
- «Suspected compromise indicator was found»: compromissione rilevata, da trattare seguendo le raccomandazioni dell’advisory;
- «Security scan did not complete»: bisogna contattare il Cisco Technical Assistance Center (TAC);
- «No compromise indicator was found»: nessuna compromissione rilevata, si passa all’aggiornamento.
Con i privilegi root l’aggressore può rimuovere o nascondere le prove, per questo Cisco raccomanda di incrociare anche i log di rete e del firewall esterni al dispositivo, cercando per esempio upload inattesi verso IP esterni o download da IP malevoli.
Per Secure Email Cloud, Cisco dice di aver condotto un’indagine di threat intelligence e di aver contattato i clienti con dispositivi che mostravano segni di possibile compromissione. A loro raccomanda di rinnovare credenziali e materiale crittografico.
Se il sospetto c’è: cosa fare
- Appliance fisica: contattare il Cisco TAC, tenendo abilitato l’accesso remoto per accelerare l’indagine.
- Appliance virtuale: salvare prima le informazioni forensi, perché aggiornare un’istanza compromessa distrugge dati e log forensi. Poi distribuire una nuova macchina virtuale con una release corretta, ricostruire la configurazione senza importare file precedenti, rinnovare credenziali e materiale crittografico e continuare a monitorare il sistema.
- Cluster: le chiavi SSH private usate per l’autenticazione fra i membri potrebbero essere accessibili su un’appliance compromessa e consentire di attaccare gli altri nodi. Cisco raccomanda di ripristinare ogni membro di un cluster che contiene almeno un’appliance compromessa.
- Nessun sospetto ma release vulnerabile: Cisco raccomanda comunque di aggiornare a una release corretta.
- Fra le raccomandazioni generali, Cisco indica di impedire l’accesso all’appliance da internet o limitarlo a host fidati, e di inviare i log a un server esterno.
