Indice dell'articolo
Rischio e azione: Cisco conferma lo sfruttamento attivo di CVE-2026-76519, vulnerabilità critica di Cisco Secure Email Gateway. Un’email con allegato costruito ad arte può consentire a un attaccante remoto non autenticato di scrivere file sul sistema ed eseguire comandi con privilegi root. Chi gestisce appliance fisiche o virtuali deve verificare subito configurazione, versione dei componenti e indicatori di compromissione: il solo aggiornamento non basta se l’attacco è già avvenuto.
Quando l’appliance è esposta
La vulnerabilità riguarda Cisco Secure Email Gateway con AsyncOS vulnerabile solo quando sono presenti entrambi i prerequisiti indicati dal vendor: il servizio File Reputation di Advanced Malware Protection è abilitato e assegnato a una policy di posta; Content Scanner Tools è precedente alla versione 25.3.0.5525. Secure Email and Web Manager e Secure Web Appliance non sono elencati come vulnerabili. Per Cisco Secure Email Cloud Gateway la correzione è già stata distribuita dal fornitore.
Dall’interfaccia amministrativa controllare Mail Policies → Incoming/Outgoing Mail Policies → Advanced Malware Protection e verificare la casella “Enable File Reputation”. Dalla CLI eseguire contentscannerstatus. Il controllo va ripetuto su ogni nodo del cluster: la versione del software principale, da sola, non descrive il requisito effettivo.
Correzione disponibile
Cisco non indica workaround. Le prime release AsyncOS corrette sono 15.5.5-014 e 16.5.0-780; per la serie 16.0 occorre migrare a una release corretta. Il vendor raccomanda agli ambienti precedenti alla 16.5 di passare alla 16.5.0-780. In alternativa, sulle release supportate, Content Scanner Tools 25.3.0.5525 o successivo contiene la correzione e può essere aggiornato senza upgrade di AsyncOS né riavvio. Se gli aggiornamenti automatici sono disabilitati, il comando ufficiale è contentscannerupdate.
Dopo l’aggiornamento, rieseguire contentscannerstatus, verificare l’elaborazione dei flussi in entrata e uscita, le code, le policy AMP e la telemetria esterna. Conservare prima configurazione, stato del cluster e piano di rollback: una modifica senza validazione può proteggere dalla falla ma interrompere il servizio di posta.
Patch o risposta all’incidente?
In questo caso lo sfruttamento non è teorico. Cisco ha dichiarato di aver osservato attività malevola e CISA ha inserito la CVE nel catalogo KEV. Su ogni nodo eseguire grep "System Security" system_logs. Un messaggio di compromissione sospetta o una scansione incompleta richiede escalation a Cisco TAC e attivazione della procedura di incident response.
Anche il risultato “No compromise indicator was found” non equivale a una prova assoluta di integrità: con accesso root un attaccante può cancellare evidenze. Correlare quindi firewall, proxy, DNS, SIEM e log di rete esterni cercando connessioni inattese, download o upload avviati dall’appliance e movimenti tra nodi.
Per una virtual appliance sospetta, Cisco raccomanda di preservare prima le evidenze, distribuire una nuova VM con release corretta, ricostruire la configurazione senza importare file precedenti e rinnovare credenziali e materiale crittografico. In un cluster, le chiavi SSH tra membri possono essere state esposte: il perimetro di ripristino deve includere tutti i nodi collegati. Una semplice patch in-place può distruggere dati forensi senza rimuovere persistenza o credenziali compromesse.
Checklist operativa
- Inventariare appliance fisiche, virtuali, cloud e membri di cluster.
- Verificare File Reputation nelle policy e la versione con
contentscannerstatus. - Salvare configurazione, log e telemetria esterna prima di modificare il sistema.
- Cercare “System Security” nei log di ogni nodo e correlare gli eventi fuori dall’appliance.
- Applicare Content Scanner Tools 25.3.0.5525+ o una release AsyncOS corretta.
- Se esistono indicatori, preservare le evidenze e ricostruire l’ambiente secondo le indicazioni Cisco, ruotando credenziali e chiavi.
- Separare le interfacce di posta e gestione, limitare l’amministrazione a host fidati e inviare i log a un server esterno.
- Validare code, policy, cluster, flussi SMTP, logging e monitoraggio dopo l’intervento.
Devi verificare o ripristinare un gateway di posta senza perdere continuità operativa? Richiedi una verifica tecnica a MSP In Cloud.