Una grave falla di sicurezza nel Cisco Secure Email Gateway (SEG), che consente l'esecuzione di comandi con privilegi di root, è attivamente sfruttata da attaccanti. Cisco ha rilasciato patch e raccomanda azioni immediate.
Cisco ha confermato che una vulnerabilità di sicurezza critica, identificata provvisoriamente senza un numero CVE specifico ma con riferimento interno cisco-sa-esa-afw-zqYJkjxp, sta già venendo sfruttata da gruppi di minaccia attivi. La falla interessa il componente Advanced Malware Protection (AMP) del Cisco Secure Email Gateway (SEG) e permette a un aggressore non autenticato di scrivere file arbitrari sul sistema operativo sottostante, ottenendo così privilegi di root. Questo significa un controllo quasi totale sul dispositivo compromesso.
L'attacco sfrutta una gestione inadeguata degli allegati email quando il servizio di File Reputation è abilitato all'interno delle policy di posta. Un attaccante può inviare un messaggio di posta elettronica con un allegato appositamente creato. Il gateway, nel tentativo di analizzare la reputazione di questo allegato, esegue operazioni di scrittura sul sistema che non sono adeguatamente filtrate. Le condizioni necessarie affinché l'exploit abbia successo sono due:
Se queste condizioni sono soddisfatte, un attaccante remoto, senza necessità di autenticazione o interazione da parte dell'utente, può ottenere la capacità di scrivere file arbitrari sul filesystem del dispositivo e di eseguire comandi con privilegi di amministratore.
Cisco ha specificato che i prodotti Secure Email and Web Manager e Secure Web Appliance non sono interessati da questa specifica vulnerabilità.
Secondo le informazioni fornite da Cisco, l'azienda è venuta a conoscenza dello sfruttamento attivo della vulnerabilità nell'ottobre 2026, grazie a scansioni interne di sicurezza. Questo segna la terza vulnerabilità significativa scoperta nel segmento email di Cisco nell'arco di poco più di un anno, seguendo una vulnerabilità di SQL injection e un precedente zero-day nella funzione di quarantena spam. Le prime campagne malevole note che sfruttano questa falla mirano all'installazione di backdoor e all'esecuzione di movimenti laterali all'interno delle reti aziendali.
L'ottenimento di privilegi di root su un Cisco Secure Email Gateway apre scenari di attacco molto gravi. Un aggressore può:
Cisco suggerisce di analizzare i log di sistema del SEG, in particolare con il comando grep "System Security" system_logs. L'analisi di questi log può fornire indicazioni sulla presenza di attività sospette. Tuttavia, un risultato che non mostra anomalie non garantisce l'assenza di compromissione, dato che un attaccante con privilegi di root potrebbe aver alterato anche questi log.
Per una valutazione più affidabile, è fondamentale incrociare i log del SEG con quelli dei firewall e di altri dispositivi di rete. Si raccomanda di cercare trasferimenti di file non autorizzati verso indirizzi IP esterni sconosciuti o download da sorgenti sospette.
Gli amministratori di Secure Email Cloud che non hanno accesso alla CLI potrebbero non essere in grado di eseguire queste verifiche autonomamente. Cisco ha contattato direttamente i clienti cloud per i quali è stata rilevata attività malevola.
Cisco ha rilasciato le seguenti raccomandazioni per la mitigazione:
Attualmente, non esistono workaround che possano mitigare completamente il rischio senza applicare le patch.
Per gli ambienti virtuali che si sospetta siano stati compromessi, Cisco raccomanda un approccio cauto:
Un aspetto particolarmente preoccupante riguarda gli ambienti in cluster. Poiché i membri di un cluster comunicano tra loro tramite coppie di chiavi SSH, un attaccante che compromette un singolo nodo potrebbe rubare queste chiavi e utilizzarle per ottenere il controllo degli altri membri del cluster. Pertanto, in caso di compromissione di un nodo in un cluster, Cisco raccomanda di ripristinare tutti i membri del cluster.
La frequenza con cui emergono vulnerabilità critiche nei prodotti di sicurezza email di Cisco sottolinea l'importanza di adottare strategie di difesa multilivello. Tra le misure di hardening generali raccomandate da Cisco vi sono:
Inoltre, Cisco ha pubblicato a settembre 2026 un aggiornamento di Security Hardening Release sia per Secure Email Gateway che per Secure Email and Web Manager, che gli amministratori dovrebbero considerare.
Per garantire la sicurezza, gli amministratori dovrebbero:
contentscannerstatus) e confrontarla con la soglia di sicurezza.contentscannerupdate).La vulnerabilità CVE‑2026‑76519 (o riferimento interno equivalente) rappresenta una minaccia attiva e significativa. L'intervento tempestivo, attraverso l'applicazione degli aggiornamenti software, la verifica dei log e, se necessario, la ricostruzione dei sistemi compromessi, è essenziale per mitigare i rischi e proteggere le infrastrutture aziendali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.