Il 15 ottobre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato un alert su una vulnerabilità critica di Cisco Secure Email Gateway, una soluzione per la protezione e la gestione della posta elettronica. La falla è identificata con la sigla CVE-2026-76519 e ha un punteggio CVSS 3.1 di 9.8. Il CVSS è una scala da 0 a 10 che misura la gravità di una vulnerabilità. Secondo l’alert, Cisco ha rilevato che la falla viene già sfruttata in rete.
Chi è coinvolto
La vulnerabilità riguarda la componente Advanced Malware Protection, il modulo che analizza gli allegati delle email alla ricerca di software dannoso. I prodotti affetti, secondo l’alert, sono:
- Cisco AsyncOS Software for Cisco Secure Email Gateway 15.5.x, versioni precedenti alla 15.5.5-014
- Cisco AsyncOS Software for Cisco Secure Email Gateway 16.x, versioni precedenti alla 16.5.0-780
L’alert precisa che i prodotti risultano vulnerabili solo in specifiche condizioni, indicate nel bollettino di sicurezza di Cisco. Una di queste è l’attivazione del servizio File Reputation, che valuta l’affidabilità dei file in base a informazioni raccolte in rete.
Che rischio c’è
Il problema è del tipo “Relative Path Traversal”. In termini semplici, il dispositivo gestisce in modo non adeguato gli allegati e può essere indotto a scrivere file in posizioni del sistema che dovrebbero essere fuori portata.
Secondo l’alert, un attaccante remoto non autenticato, cioè senza bisogno di credenziali, potrebbe inviare al dispositivo email con allegati predisposti ad hoc. In questo modo potrebbe scrivere file arbitrari sul sistema sottostante ed eseguire comandi con privilegi di root, cioè con i diritti più elevati possibili sulla macchina.
L’alert classifica la vulnerabilità tra i rischi di esecuzione di codice da remoto e di escalation dei privilegi. L’impatto sistemico è indicato come critico, con un valore di 79,23. Per la CVE-2026-76519 l’alert segnala lo sfruttamento come presente, mentre non è indicata la disponibilità di un codice dimostrativo pubblico.
Cosa fare
Il CSIRT Italia, in linea con le dichiarazioni di Cisco, raccomanda di aggiornare tempestivamente i prodotti vulnerabili, seguendo le indicazioni dei bollettini di sicurezza del produttore.
Cisco suggerisce inoltre di valutare la verifica dei log system_logs, per individuare eventuali tentativi di sfruttamento. Il comando indicato è:
esa-appliance> grep "System Security" system_logs
Se il sistema fa parte di un cluster, cioè di un gruppo di dispositivi che lavorano insieme, il produttore indica di controllare i log di ciascun nodo. I dettagli sugli indicatori di compromissione, ossia le tracce che segnalano un possibile attacco, sono nella sezione “Indicators of Compromise” del bollettino Cisco.
Come ulteriori precauzioni, chi non gestisce direttamente il sistema può avvisare il proprio fornitore IT, e chi lo gestisce può verificare la versione installata sui propri dispositivi.
Fonte: alert AL01/261015/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 15 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
