Cisco Secure Email Gateway CVE-2026-76519: un allegato costruito ad arte porta a root, seconda falla sfruttata in un mese

Un allegato costruito ad arte, recapitato a un Cisco Secure Email Gateway, basta per scrivere file arbitrari sul sistema operativo dell'appliance ed eseguire comandi con privilegi di root. È il meccanismo della CVE-2026-76519, un relative path traversal con CVSS v3.1 pari a 9.8 nella funzione Advanced Malware Protection (AMP) di Cisco AsyncOS, oggetto di sfruttamento attivo secondo l'advisory pubblicato da Cisco il 14 ottobre 2026. Il difetto sta nella gestione degli allegati quando è attivo il servizio File Reputation: l'attaccante, remoto e senza credenziali, fa transitare dal gateway una email con l'allegato malevolo, e l'appliance, mentre lo esamina per verificarne la reputazione, finisce per scrivere sul disco file a scelta dell'aggressore. La falla è raggiungibile solo dove la File Reputation è assegnata ad almeno una mail policy e il pacchetto Content Scanner Tools è precedente alla 25.3.0.5525. Nessuno deve aprire il messaggio: per colpire basta che il gateway faccia la scansione per cui è stato installato.

Cisco ha individuato la falla con una scansione di sicurezza interna e dichiara di aver saputo dello sfruttamento attivo nel corso di ottobre, senza indicare un giorno; ha anche contattato direttamente i clienti del servizio cloud su cui ha trovato indicatori di possibile compromissione. Un portavoce dell'azienda, citato da The Register, parla di attacchi contro un numero limitato di clienti, ma Cisco non ha detto quanti apparati siano stati violati né cosa abbiano fatto gli attaccanti dopo l'accesso, e finora nessuna fonte ha attribuito la campagna a un attore preciso. La CISA ha inserito la CVE nel catalogo KEV il 14 ottobre, con scadenza al 17 ottobre per le agenzie federali statunitensi e l'obbligo di un triage forense; ACN ha diffuso il proprio alert il giorno successivo. La correzione esisteva già da un mese: le release AsyncOS 15.5.5-014 e 16.5.0-780 sono quelle della Security Hardening Release del 14 settembre, il cui advisory, aggiornato il 14 ottobre, segnala ora come sfruttata una delle falle di tipo path traversal corrette allora, e secondo SecurityWeek la vulnerabilità era inizialmente compresa nella CVE-2026-76440 assegnata a quel gruppo. A settembre la correzione era uscita senza alcuna indicazione di sfruttamento, e non è noto da quando gli attacchi siano in corso.

È la seconda vulnerabilità sfruttata sullo stesso apparato in un mese, dopo la SQL injection CVE-2026-76461 di cui avevamo scritto in un nostro precedente alert del 16 settembre: anche allora il vettore era la posta in ingresso e l'esito un comando eseguito come root. Chi in quell'occasione ha installato la 15.5.5-014 o la 16.5.0-780 ha già la correzione; chi sul ramo 16.0 si è fermato alla 16.0.4-302, che chiudeva la falla di settembre, per questa non trova una release corretta nel proprio ramo (Cisco indica di migrare) e, se usa la File Reputation, va considerato esposto finché il Content Scanner Tools resta sotto la 25.3.0.5525. A doversene preoccupare è chi gestisce in proprio un Secure Email Gateway fisico o virtuale con la File Reputation attiva, apparato di fascia enterprise presente anche in enti pubblici e aziende di medie e grandi dimensioni, e in particolare chi non usa gli aggiornamenti automatici dei servizi o è su un ramo senza release corretta, cioè il 16.0 e quelli precedenti alla 15.5; chi usa Secure Email Cloud Gateway non deve aggiornare nulla e, se è stato contattato da Cisco, ne segue le indicazioni. L'aggiornamento chiude la falla ma non dice nulla su ciò che è successo prima: come avverte Cisco, con i privilegi di root l'attaccante può cancellare le proprie tracce e, in un cluster, leggere le chiavi SSH private con cui i nodi si autenticano fra loro, per cui un solo membro compromesso mette a rischio tutti gli altri.

• Versioni affette: Cisco AsyncOS per Secure Email Gateway, appliance fisiche e virtuali, precedenti alla 15.5.5-014 (compresi i rami più vecchi: il record della CVE elenca build affette a partire dalla 13.0) e rami 16.x precedenti alla 16.5.0-780, quando la File Reputation di AMP è abilitata e assegnata a una mail policy in ingresso o in uscita e il Content Scanner Tools è precedente alla 25.3.0.5525. Non sono vulnerabili Secure Email and Web Manager e Secure Web Appliance; Secure Email Cloud Gateway è già stato corretto da Cisco.
• Azione raccomandata: verificare nelle mail policy, sezione Advanced Malware Protection, se la File Reputation è attiva e quale versione del Content Scanner Tools è installata; aggiornare il Content Scanner Tools alla 25.3.0.5525 o successiva, operazione che non richiede riavvio né upgrade di AsyncOS, e attivare gli aggiornamenti automatici nella sezione Service Updates di Security Services, oppure portare AsyncOS alla 15.5.5-014 o alla 16.5.0-780 (dal ramo 16.0 e dai rami più vecchi si migra alla 16.5.0-780); su ogni nodo cercare nel log system_logs le righe con la dicitura System Security: il messaggio che segnala un indicatore di compromissione sospetto va trattato come compromissione avvenuta, quello di scansione non completata richiede il contatto con il TAC, quello senza indicatori consente di procedere con l'aggiornamento; controllare anche i log di rete e del firewall esterni all'appliance in cerca di traffico anomalo; se l'apparato risulta compromesso, per un'appliance fisica rivolgersi al TAC, per una virtuale conservare prima i dati forensi (l'aggiornamento di un'istanza compromessa li cancella), poi creare una nuova VM con release corretta, ricostruire la configurazione senza importare i vecchi file e ruotare credenziali e materiale crittografico, e in un cluster ripristinare tutti i membri; limitare l'esposizione dell'appliance agli host e alle porte necessari, separare le interfacce di posta e di gestione e inviare i log a un server esterno.

Fonti: ACN, Cisco, CISA, SecurityWeek, The Register