CVE-2026-76519 sfruttata sui gateway email Cisco
CVE-2026-76519 viene sfruttata contro gli appliance Cisco Secure Email Gateway, secondo un advisory di Cisco. La vulnerabilità consente a un mittente non autenticato, ossia una persona priva di account o credenziali di accesso, di inviare un'email con un allegato appositamente preparato e scrivere file nel sistema operativo dell'appliance. Uno sfruttamento riuscito potrebbe consentire l'esecuzione di comandi come root, l'account di sistema con il massimo livello di controllo. Cisco ha assegnato alla falla un punteggio di gravità CVSS Critical pari a 9,8, l'ha individuata tramite attività interne di security scanning ed è venuta a conoscenza degli attacchi a ottobre. L'advisory non identifica gli autori degli attacchi, non quantifica i dispositivi interessati e non conferma se qualche attaccante abbia ottenuto l'accesso root.
Un gateway è vulnerabile solo quando si verificano due condizioni. File Reputation, parte della funzionalità Advanced Malware Protection utilizzata per esaminare gli allegati, deve essere abilitata e assegnata a una policy della posta in entrata o in uscita. Inoltre, il pacchetto Content Scanner Tools installato deve essere precedente alla versione 25.3.0.5525. Sono esposti sia gli appliance Secure Email Gateway fisici sia quelli virtuali che eseguono release di AsyncOS interessate. AsyncOS è il software operativo utilizzato dall'appliance. Secure Email and Web Manager e Secure Web Appliance non sono interessati da questa vulnerabilità.
Gli amministratori possono controllare l'impostazione File Reputation in Mail Policies, Incoming Mail Policies, Advanced Malware Protection oppure tramite il percorso equivalente per le policy in uscita. La versione di Content Scanner Tools può essere verificata eseguendo `contentscannerstatus` tramite la command-line interface, o CLI, una console amministrativa basata su testo. I sistemi che eseguono già la versione 25.3.0.5525 o successiva non sono vulnerabili attraverso questa falla.
L'aggiornamento dello scanner è il percorso di remediation più rapido e non richiede un aggiornamento completo del software né un riavvio. Gli appliance con gli aggiornamenti automatici di Content Scanner Tools abilitati dovrebbero riceverlo automaticamente, ma gli amministratori devono verificare la versione installata anziché presumere che l'aggiornamento sia stato completato. Se gli aggiornamenti automatici sono disabilitati, Cisco indica di eseguire `contentscannerupdate` nella CLI oppure di abilitare gli aggiornamenti in Security Services e Service Updates. Non esiste alcun workaround per un appliance che rimane su una versione interessata dello scanner.
Cisco indica inoltre AsyncOS 15.5.5-014 e 16.5.0-780 come le prime release corrette nei rispettivi branch. Non è elencata alcuna build corretta per AsyncOS 16.0, quindi tali sistemi devono migrare a una release corretta oppure confermare che il pacchetto scanner separato sia alla versione 25.3.0.5525 o successiva. Cisco raccomanda di aggiornare qualsiasi gateway precedente alla versione 16.5 a 16.5.0-780. AsyncOS 16.0.4-302, che ha corretto una vulnerabilità SQL injection separata divulgata a settembre, non risolve da sola CVE-2026-76519. L'advisory non specifica quali release con licenza e supportate siano idonee per il pacchetto scanner; pertanto, il risultato di `contentscannerstatus` costituisce la conferma indicata per un dispositivo che rimane sulla versione 16.0.
Cisco fornisce un controllo locale per rilevare segnali di tentato sfruttamento: `grep "System Security" system_logs`. Il risultato segnala una possibile compromissione, un security scan incompleto oppure l'assenza di indicatori. Un risultato che indica una possibile compromissione richiede il processo di ripristino, mentre uno scan incompleto deve essere sottoposto al Technical Assistance Center di Cisco. Gli amministratori devono eseguire il comando su ogni appliance di un cluster. Un risultato senza indicatori non è conclusivo, perché un attaccante con controllo root potrebbe nascondere o rimuovere le prove. Cisco consiglia quindi anche di controllare i log del firewall e gli altri log di rete archiviati al di fuori dell'appliance per individuare upload imprevisti verso indirizzi Internet esterni o download provenienti da indirizzi malevoli. L'advisory non spiega con precisione cosa rilevi lo scan locale.
Il ripristino dipende dal tipo di appliance. Cisco chiede agli operatori degli appliance fisici compromessi di contattare il proprio Technical Assistance Center e abilitare l'accesso remoto per le indagini. Per un appliance virtuale, i dati forensi e i log devono essere conservati prima di qualsiasi aggiornamento, perché l'aggiornamento dell'istanza compromessa distrugge tali prove. Gli amministratori devono quindi distribuire una nuova virtual machine con una release corretta, ricrearne la configurazione senza importare un vecchio file di configurazione, rinnovare le credenziali e il materiale crittografico e continuare a monitorare eventuali attività insolite.
I gateway in cluster richiedono ulteriore attenzione. I membri si autenticano reciprocamente utilizzando SSH key pairs, credenziali digitali collegate utilizzate per connessioni fidate tra sistemi. Se un attaccante ottiene le private key di un membro compromesso, tali credenziali potrebbero consentire l'accesso agli altri membri. Cisco raccomanda quindi di ripristinare ogni membro di un cluster quando almeno un appliance risulta compromesso. L'azienda ha inoltre contattato i clienti del servizio gestito Secure Email Cloud i cui dispositivi mostravano indicatori di possibile compromissione. Cisco ha distribuito a tale servizio il pacchetto scanner corretto, quindi non è richiesta alcuna azione da parte dei clienti per ottenere la correzione, anche se ai clienti contattati viene chiesto di rinnovare, ove possibile, le credenziali e il materiale crittografico. Gli amministratori del servizio gestito potrebbero non disporre dell'accesso CLI necessario per eseguire autonomamente il controllo locale.
La vulnerabilità era già coperta dalle hardening build pubblicate il 14 settembre, sebbene abbia ricevuto un advisory dedicato mercoledì, dopo che Cisco ne ha confermato lo sfruttamento. Quella hardening release raggruppava le vulnerabilità individuate internamente per classe di debolezza sotto CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 e CVE-2026-76443, ciascuna con un punteggio di 9,8, oltre a CVE-2026-76442 con un punteggio di 7,5. Cisco afferma ora che due vulnerabilità di quella release vengono sfruttate: CVE-2026-76519 nella classe path traversal, relativa alla gestione non sicura dei percorsi dei file, e CVE-2026-76461 nella classe improper neutralization. Cisco non ha collegato le due campagne di attacco e afferma di non essere a conoscenza di attacchi contro le altre vulnerabilità incluse nella release.
CVE-2026-76461 è una falla SQL injection nel parsing delle email che può consentire a un mittente non autenticato di eseguire comandi root tramite un'email appositamente preparata. Interessa ogni configurazione ed è stata aggiunta il 14 settembre al catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency. Le due vulnerabilità riguardano componenti software diversi e richiedono controlli dei log differenti. In base alla disclosure policy annunciata da Cisco a giugno, le vulnerabilità presenti nelle hardening release possono condividere CVE raggruppati, mentre una falla può ricevere un identificatore separato quando è noto che viene sfruttata.
Questa è la terza falla di Secure Email Gateway con privilegi root che Cisco ha confermato come sfruttata da dicembre. Cisco Talos aveva precedentemente riferito che il gruppo monitorato con il nome UAT-9686 aveva utilizzato CVE-2025-20393 come zero-day, cioè l'aveva sfruttata prima che fosse disponibile una correzione, nella funzionalità di quarantena dello spam. Cisco ha corretto tale vulnerabilità a gennaio. Le organizzazioni che valutano la propria postura di sicurezza complessiva possono inoltre prendere in considerazione i servizi IT, infrastrutturali e di consulenza security-first offerti da AEU-I.