Analisi editoriale · Fonti primarie
Una falla di Cisco Secure Email Gateway è sfruttata attivamente
Cisco ha confermato lo sfruttamento attivo di CVE-2026-76519, una falla di path traversal senza autenticazione in Secure Email Gateway che può portare all’esecuzione di comandi root. La data dello sfruttamento non è pubblica; Cisco ha divulgato il problema il 14 ottobre 2026.
Fatti confermati
Cisco afferma che CVE-2026-76519 interessa appliance Secure Email Gateway fisiche e virtuali quando File Reputation è abilitato in una policy di posta e Content Scanner Tools è precedente alla versione 25.3.0.5525. Un allegato appositamente creato può causare scritture arbitrarie ed esecuzione di comandi come root. Cisco è venuta a conoscenza dello sfruttamento attivo in ottobre, ma non ha pubblicato la data iniziale né attribuito l’attività. [1]
Chi deve valutare l’esposizione
I responsabili di Secure Email Gateway on-premises devono censire ogni appliance e membro del cluster, verificare le versioni di AsyncOS e Content Scanner Tools e confermare se File Reputation è abilitato. Secure Email and Web Manager e Secure Web Appliance non risultano interessati. Cisco indica che l’ambiente Secure Email Cloud ha già ricevuto il pacchetto corretto. [1]
Impatto su missione e governance
La compromissione di un controllo di sicurezza della posta può vanificare l’ispezione dei messaggi ed esporre credenziali, materiale crittografico e chiavi SSH del cluster. Va trattata come perdita di fiducia in un’appliance privilegiata, non solo come attività di patching. I responsabili di business devono confermare continuità della posta, conservazione delle prove e autorità per il ripristino prima di azioni dirompenti.
Priorità di risposta
Installare AsyncOS 15.5.5-014, 16.5.0-780 oppure Content Scanner Tools 25.3.0.5525 o successivo; non esiste workaround. Verificare i risultati System Security su ogni membro del cluster e correlare log esterni di firewall e rete, perché l’accesso root può consentire la rimozione delle prove. Se si sospetta una compromissione, preservare i dati forensi prima delle modifiche, ricostruire le appliance virtuali da un’immagine corretta senza importare la vecchia configurazione e rinnovare credenziali e materiale crittografico. [1] La sequenza integra risposta e ripristino nella gestione del rischio. [2]
Elementi sconosciuti
Cisco non ha comunicato numero di vittime, autore, data iniziale o obiettivi successivi. Una scansione locale pulita non dimostra da sola l’assenza di compromissione; occorre combinare le evidenze dell’appliance con telemetria conservata all’esterno. [1]
Fonti
- Cisco, “Cisco Secure Email Gateway Arbitrary File Write Vulnerability,” advisory cisco-sa-esa-afw-zqYJkjxp, version 1.0, 14 October 2026, accessed 16 October 2026
- NIST, “SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile,” final, April 2025, accessed 16 October 2026