Cisco Secure Email Gateway: basta un allegato per prendere il controllo

Mercoledì 14 ottobre 2026 Cisco ha avvisato che la vulnerabilità CVE-2026-76519 del Secure Email Gateway, l'apparato che filtra la posta in entrata e in uscita, è sfruttata negli attacchi. Come riportano BleepingComputer e SecurityWeek, basta inviare un'email con un allegato preparato ad arte per scrivere file sul sistema ed eseguire comandi con i privilegi di root. La gravità è 9,8 su 10. Il giorno dopo il CSIRT Italia ha rilanciato l'allerta.

Perché questa falla è particolarmente insidiosa?

Di solito, perché un allegato faccia danni, qualcuno deve aprirlo. Qui no: il bersaglio è il filtro stesso, che analizza gli allegati per cercare malware. È proprio durante l'analisi che il difetto si attiva. Nessun dipendente deve cliccare niente: l'email arriva, il gateway la esamina e l'attaccante ottiene il controllo dell'apparato.

Il difetto è un errore nella gestione dei percorsi dei file (path traversal) all'interno della funzione Advanced Malware Protection, in particolare del servizio di File Reputation, che valuta la reputazione degli allegati.

Chi è esposto?

Secondo l'avviso di Cisco, sono vulnerabili gli apparati, fisici o virtuali, in cui:

• il servizio File Reputation è attivo e assegnato a una policy della posta;
• i Content Scanner Tools hanno una versione precedente alla 25.3.0.5525.

La versione si controlla con il comando contentscannerstatus; nell'interfaccia web basta guardare l'opzione "Enable File Reputation" nelle policy della posta in entrata e in uscita. SecurityWeek precisa che le correzioni erano già uscite il 14 settembre, nelle versioni AsyncOS 15.5.5-014 e 16.5.0-780, quando la falla era stata accorpata a un altro codice. Chi ha aggiornato a settembre è quindi già protetto; chi non l'ha fatto, no.

Secondo BleepingComputer, la Shadowserver Foundation conta quasi 300 di questi apparati esposti su internet. È la seconda falla del Secure Email Gateway sfruttata negli attacchi da metà settembre.

Cosa fare se l'apparato è stato compromesso?

Cisco ha pubblicato indicatori di compromissione e alcune indicazioni, riportate da SecurityWeek:

• controllare i registri di firewall e rete esterni all'apparato, perché chi attacca può cancellare le tracce sul gateway;
• per gli apparati fisici con sospetta compromissione, rivolgersi all'assistenza tecnica di Cisco;
• per quelli virtuali, sostituire la macchina con una nuova a versione corretta, ricostruire la configurazione e cambiare le credenziali, conservando le prove.

Per i clienti del servizio cloud, Cisco ha applicato le mitigazioni di sua competenza e ha contattato chi mostrava segni di compromissione.

Cosa cambia per una PMI?

Il Secure Email Gateway è un prodotto pensato per aziende strutturate. Se però la tua posta è gestita da un fornitore di servizi, potrebbe passare anche da un apparato come questo senza che tu lo sappia. Se il filtro antispam aziendale è un Cisco, chiedi al fornitore conferma scritta della versione installata.

In generale vale una regola: gli apparati di sicurezza sono software anche loro, e vanno aggiornati con la stessa cura di un PC. Anzi di più, perché sono esposti su internet per definizione.

Cosa fare adesso?

1. Verifica se la posta passa da un Cisco Secure Email Gateway e chi lo gestisce.
2. Controlla la versione dei Content Scanner Tools: deve essere almeno 25.3.0.5525.
3. Aggiorna AsyncOS a una versione corretta, se non l'hai fatto a settembre.
4. Limita l'accesso alle interfacce di gestione dell'apparato alle sole reti interne.
5. Confronta gli indicatori di compromissione di Cisco con i registri esterni.

Anche il filtro di posta di Fortinet è stato colpito questo mese: ne parlo nella notizia su FortiMail. E per la parte che dipende dalle persone resta utile sapere come riconoscere il phishing aziendale.

Ne parliamo?

La posta è il canale da cui passano ordini, fatture e documenti dei clienti, e spesso è collegata al gestionale. Quando costruisco automazioni dei processi che leggono o inviano email, la sicurezza del canale è parte del lavoro, come in qualsiasi integrazione via API con servizi esterni. Se vuoi un parere sulla tua infrastruttura di posta, la consulenza tecnica è il punto di partenza. Scrivimi dalla pagina contatti.

Fonti

• Cisco patches actively exploited Secure Email Gateway zero-day (BleepingComputer)
• Cisco Warns of Exploited Secure Email Gateway Vulnerability (SecurityWeek)
• Cisco: rilevato sfruttamento in rete della CVE-2026-76519 relativa a Secure Email Gateway (ACN, CSIRT Italia)

Crediti delle immagini

• Copertina: foto di Timothy Huliselan su Pexels