Cyber alert per PMI svizzere: Cisco Secure Email Gateway – un allegato manipolato consente comandi root
Cisco conferma lo sfruttamento attivo di CVE-2026-76519 in Secure Email Gateway. Quando un’appliance locale vulnerabile analizza un allegato manipolato, un aggressore non autenticato può scrivere file arbitrari ed eseguire comandi con privilegi root.
Se l’azienda o il suo fornitore IT gestisce un Cisco Secure Email Gateway fisico o virtuale, chiedete oggi stesso di verificare la versione di Content Scanner Tools, aggiornarla alla 25.3.0.5525 o successiva e cercare tracce di compromissione.
Che cosa è successo?
Il 14 ottobre 2026 Cisco ha pubblicato un avviso critico relativo a CVE-2026-76519, con punteggio CVSS 9.8, e ha confermato lo sfruttamento attivo nel mese di ottobre. La vulnerabilità nasce durante l’elaborazione degli allegati da parte della funzione Advanced Malware Protection. All’aggressore basta inviare un’e-mail manipolata attraverso il gateway; non è richiesta alcuna autenticazione.
La mia azienda potrebbe essere interessata?
Sono interessati i Cisco Secure Email Gateway fisici e virtuali quando il servizio File Reputation è assegnato a una policy di posta e Content Scanner Tools è precedente alla versione 25.3.0.5525. Cisco Secure Email Cloud Gateway è già protetto e non richiede interventi del cliente. Secure Email and Web Manager e Secure Web Appliance non sono interessati.
Che cosa fare adesso?
Chiedete subito al fornitore IT di:
Aggiornare Content Scanner Tools alla versione 25.3.0.5525 o successiva oppure passare ad AsyncOS 15.5.5-014 o 16.5.0-780. AsyncOS 16.0 deve migrare a una release corretta.
Verificare se gli aggiornamenti automatici di Content Scanner Tools erano attivi e se l’update è stato effettivamente applicato. La sola presenza della funzione automatica non è una conferma.
Controllare system_logs per i messaggi Cisco «System Security» ed esaminare i log esterni di rete e firewall per upload o download insoliti. Se si sospetta una compromissione, coinvolgere Cisco TAC e conservare i dati forensi prima di apportare modifiche.
Quanto è urgente?
Urgenza critica – verifica immediata. La falla viene sfruttata attivamente, non richiede autenticazione e può dare il controllo root di un gateway di sicurezza e-mail. Solo Cisco Secure Email Cloud Gateway è confermato dal produttore come già protetto centralmente.
Informazioni per il fornitore IT
L’esposizione richiede che Cisco AMP File Reputation sia attivo e assegnato a una policy di posta e che Content Scanner Tools sia precedente alla versione 25.3.0.5525. Cisco indica 15.5.5-014 e 16.5.0-780 come prime release AsyncOS corrette; la versione 16.0 deve migrare. Non esiste una soluzione alternativa. Dopo lo sfruttamento l’aggressore può nascondere le prove, quindi Cisco raccomanda anche il controllo dei log esterni. Per un’appliance virtuale compromessa, Cisco consiglia la ricostruzione, una nuova configurazione e il rinnovo delle credenziali e del materiale crittografico.
