Vulnerabilità di Cisco Secure Email Gateway ora attivamente sfruttata

Cisco ha confermato che una vulnerabilità critica di Cisco Secure Email Gateway, tracciata come CVE-2026-76461, è attivamente sfruttata in natura. Il difetto riguarda AsyncOS Software per Cisco Secure Email Gateway e ha un punteggio di gravità CVSS di 9,8 su 10, quasi il massimo possibile. Cisco ha descritto per la prima volta il problema in un avviso di lunedì. L'azienda afferma che la vulnerabilità è causata da una validazione insufficiente nella logica di analisi delle email. A causa di questo controllo mancante, un attaccante non autenticato può inviare un messaggio email appositamente costruito contenente istruzioni SQL dannose e quindi eseguire comandi arbitrari con privilegi di root sul sistema operativo sottostante. SQL è un linguaggio usato per leggere e modificare le informazioni memorizzate nei database, e i privilegi di root sono il livello più alto di controllo amministrativo su un computer. In termini pratici, un attaccante che riesce può assumere il pieno controllo del dispositivo interessato senza bisogno di effettuare prima l'accesso.

Cisco afferma che la vulnerabilità riguarda Cisco Secure Email Gateway sia in forma fisica che virtuale, indipendentemente da come è configurato il dispositivo. L'azienda dichiara inoltre che altri prodotti come Secure Email and Web Manager e Secure Web Appliance non sono interessati. Il software corretto è disponibile per tre rami di rilascio di Cisco AsyncOS. I clienti con versione 15.5 e precedenti devono aggiornare a 15.5.5-0141. I clienti con 16.0 devono aggiornare a 16.0.4-302. I clienti con 16.5 devono aggiornare a 16.5.0-780. Non esistono soluzioni alternative oltre all'aggiornamento a una versione supportata e corretta. In risposta allo sfruttamento attivo, la U.S. Cybersecurity and Infrastructure Security Agency, o CISA, ha aggiunto CVE-2026-76461 al suo catalogo Known Exploited Vulnerabilities, un elenco pubblico di difetti che le agenzie federali devono correggere rapidamente perché gli attaccanti li stanno già usando. In base a tale inserimento, le agenzie del Federal Civilian Executive Branch sono tenute ad applicare le patch entro il 17 settembre 2026.

Cisco afferma di essere venuta a conoscenza dello sfruttamento attivo questo mese. Per aiutare gli amministratori a rilevare possibili abusi, Cisco elenca diversi indicatori di compromissione, o IoC. Gli operatori dei gateway email dovrebbero esaminare i mail_logs per individuare istruzioni SQL sospette. Se un dispositivo fa parte di un cluster, gli amministratori dovrebbero esaminare i log su ogni membro del cluster. Cisco suggerisce specificamente di eseguire il comando cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]. Se l'output contiene una voce, ciò può indicare attività dannosa. Cisco ha inoltre dichiarato di aver contattato direttamente i clienti che possiedono dispositivi Cisco Secure Email Cloud in cui è stata rilevata attività dannosa. L'azienda non ha divulgato la portata degli attacchi né quanti clienti siano stati colpiti.

Poiché uno sfruttamento riuscito può fornire l'esecuzione di comandi root, gli attori delle minacce potrebbero essere in grado di eliminare o nascondere le prove di compromissione sul dispositivo stesso. Cisco consiglia quindi agli amministratori di verificare in modo incrociato i log di rete e i log del firewall al di fuori del dispositivo interessato. I team dovrebbero cercare caricamenti imprevisti avviati dal dispositivo interessato verso indirizzi IP esterni, nonché download da indirizzi IP dannosi. Questa visione esterna è importante perché un attaccante con accesso root può manomettere i log locali e far sembrare il dispositivo pulito.

L'avvertimento di Cisco arriva poco dopo che Arctic Wolf ha segnalato un'ondata separata di attacchi su larga scala alle credenziali contro appliance Fortinet VPN esposte a Internet. Secondo Arctic Wolf, l'attività si è svolta in due ondate prolungate in diversi ambienti di clienti statunitensi dal 26 al 28 agosto 2026. Gli attacchi hanno prodotto decine di milioni di errori di autenticazione, ovvero tentativi di accesso falliti. Il ricercatore di sicurezza Kyle Siddall ha affermato che l'attore ha usato nomi utente specifici dell'organizzazione, indirizzi email aziendali, account affiliati e identità amministrative comuni. Questo schema indica che l'attaccante aveva accesso a informazioni di identità precedentemente raccolte o enumerate, piuttosto che limitarsi a indovinare nomi utente generici. In un caso osservato, un'autenticazione Fortinet VPN riuscita proveniente dall'indirizzo IP 158.94.211[.]14 è stata seguita da attività dannosa nell'ambiente di destinazione. Una VPN, o rete privata virtuale, è una connessione privata sicura usata per raggiungere i sistemi aziendali tramite Internet.

Per i proprietari di siti web, le aziende e i team IT, i due rapporti evidenziano la stessa preoccupazione operativa: le appliance esposte pubblicamente e i sistemi di accesso remoto vengono testati continuamente. I Cisco Secure Email Gateway non aggiornati possono dare a un estraneo il pieno controllo tramite una singola email appositamente costruita, mentre gli accessi VPN esposti vengono martellati con nomi utente e password precedentemente trapelati. Questo rende essenziali l'applicazione tempestiva delle patch, l'esame dei log e l'autenticazione a più fattori. Per i team che necessitano di assistenza con le routine di audit e patching per le appliance esposte pubblicamente, AEU-I offre consulenza IT e infrastrutturale orientata alla sicurezza che può supportare la pianificazione e la verifica degli aggiornamenti.