Cisco SEG sotto assedio: terzo zero-day in un anno, root via email

Cisco ha pubblicato il 14 ottobre 2026 una patch per CVE-2026-76519, vulnerabilità zero-day attivamente sfruttata in Secure Email Gateway che permette a un attaccante remoto non autenticato di eseguire comandi con privilegi di root inviando un allegato email malevolo. Si tratta del terzo zero-day SEG in circa dodici mesi, dopo CVE-2025-20393 (novembre 2025) e CVE-2026-76461 (settembre 2026), entrambi con le stesse conseguenze: compromissione completa dell'appliance tramite il traffico che essa stessa è progettata per filtrare.

CVE-2026-76519: il percorso relativo che aggira il filtro antimalware

La vulnerabilità risiede nel componente Advanced Malware Protection di Secure Email Gateway. Secondo l'advisory ufficiale Cisco, citata da BleepingComputer, il difetto è causato da una "relative path traversal weakness" nell'elaborazione degli allegati email. Un attaccante può scrivere file arbitrari e ottenere l'esecuzione di comandi con privilegi di root sul sistema operativo sottostante.

La condizione di attivazione è specifica: il servizio File Reputation deve essere abilitato e assegnato a una mail policy, e la versione Content Scanner Tools deve essere anteriore alla 25.3.0.5525. La correzione, secondo Cisco, non richiede upgrade software o riavvio dell'appliance. Questo dettaglio operativo è rilevante perché riduce il downtime necessario alla mitigazione, ma non elimina la necessità di verificare lo stato del servizio File Reputation su ogni istanza on-premise.

Il PSIRT di Cisco è venuto a conoscenza dello sfruttamento attivo nel corso di ottobre 2026. L'azienda ha precisato di avere già applicato mitigazioni alle istanze cloud e di avere contattato direttamente i clienti per cui sono emersi indizi di compromissione.

CVE-2026-76461: SQL injection nel parsing email con stesso impatto finale

La seconda vulnerabilità, corretta a settembre, condivide lo stesso obiettivo — root remoto non autenticato — ma attraversa un percorso tecnico diverso. Secondo il record NVD ufficiale, CVE-2026-76461 deriva da "insufficient validation in the email parsing logic" di AsyncOS: un attaccante inserisce istruzioni SQL malevole in un'email appositamente costruita, ottenendo l'esecuzione di comandi con privilegi di root.

Il punteggio CVSS 3.1 è 9.8, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La fonte non specifica se il medesimo punteggio valga per CVE-2026-76519; nell'advisory Cisco e nelle fonti primarie consultate non risulta assegnato un CVSS numerico alla vulnerabilità di ottobre.

CVE-2026-76461 colpisce sia appliance fisiche che virtuali, indipendentemente dalla configurazione. Secure Email and Web Manager e Secure Web Appliance non sono vulnerabili. CISA ha inserito la vulnerabilità nel catalogo KEV il 14 settembre 2026 con deadline federale fissata al 17 settembre — un intervallo di tre giorni che riflette la gravità percepita dall'agenzia.

L'architettura SEG come superficie d'attacco sistemica

"The email gateway's intended purpose is to filter these emails, so it would be easy for an attacker's message to make it into the device" — Spencer McIntyre, VulnCheck director of exploit development

La citazione, riportata da Cybersecurity Dive a settembre, coglie il paradosso strutturale: il SEG è progettato per ricevere e analizzare email non attendibili, il che rende l'intera classe di vulnerabilità inherentemente difficile da mitigare con controlli perimetrali tradizionali. McIntyre ha aggiunto che, una volta ottenuto l'accesso iniziale, l'attaccante può "pivot into the organization's network", esito comune a vulnerabilità di initial access.

Il dossier non documenta attribuzione a specifici attori di minaccia. Una fonte primaria riporta osservazioni di ricercatori su possibili collegamenti con attori legati a stati nazionali, ma trattasi di valutazione speculativa non confermata da Cisco. Sul fronte della scala, Shadowserver rileva circa 300-400 istanze SEG esposte su internet — una superficie concentrata ma appetibile per la criticità del ruolo svolto da queste appliance nell'architettura di sicurezza aziendale.

Pattern ricorrente: cento Cisco nel KEV da novembre 2021

La ricorrenza dei zero-day SEG si inserisce in un trend più ampio. BleepingComputer riporta che CISA ha aggiunto cento vulnerabilità Cisco al catalogo KEV dal novembre 2021, sette delle quali sfruttate in campagne ransomware. I tre zero-day Secure Email Gateway in circa un anno — CVE-2025-20393, CVE-2026-76461 e CVE-2026-76519 — suggeriscono che l'infrastruttura email di Cisco sia diventata un obiettivo sostenuto, non un incidente isolato.

Il dossier non chiarisce se le tre vulnerabilità condividano radici comuni nel codebase AsyncOS o nell'architettura di parsing email. Tuttavia, la coincidenza di meccanismi differenti (percorso relativo nel motore antimalware, SQL injection nel parser) che conducono allo stesso risultato — root via email — solleva interrogativi sulla rigidezza delle barriere tra i componenti di elaborazione e il sistema operativo sottostante.

L'analisi di SOC Prime su CVE-2026-76461, classificata CWE-89 (Improper Neutralization of Special Elements in SQL Command), fornisce indicazioni di rilevamento ma non approfondisce la questione strutturale. La fonte non specifica se Cisco abbia intrapreso revisioni architetturali oltre alle patch puntuali.

Cosa fare adesso

• Verificare che Content Scanner Tools sia aggiornato alla versione 25.3.0.5525 o successiva su tutte le istanze SEG on-premise con File Reputation abilitato; l'update non richiede riavvio.
• Per CVE-2026-76461, conformarsi alla binding operational directive di CISA se si opera in ambito federale; le istanze private devono considerare la stessa urgenza data la conferma di sfruttamento attivo.
• I clienti contattati da Cisco per potenziale compromissione devono procedere alla rotazione delle credenziali e del materiale crittografico installato sull'appliance, come raccomandato esplicitamente dal vendor.
• Rivedere la segmentazione di rete per le appliance SEG: l'esecuzione con privilegi di root consente la cancellazione delle evidenze forensi, rendendo la contenimento laterale un elemento critico di difesa in profondità.

Il limite della fiducia nell'appliance di filtraggio

Cisco ha gestito le istanze cloud con mitigazioni automatiche, ma la parte rilevante del parco installazioni — quella on-premise — richiede azione manuale e verifica della configurazione File Reputation. La distinzione cloud/on-prem emerge come fattore di rischio differenziato, con i clienti che conservano il controllo locale esposti a un gap di protezione fino all'intervento amministrativo.

Il terzo zero-day in un anno indica che il ciclo patch-reazione sta diventando insostenibile per una componente critica dell'infrastruttura email. Il dossier non documenta se Cisco stia riconsiderando l'isolamento dei motori di parsing o l'hardening del livello privilegiato di AsyncOS; fino a prova contraria, le organizzazioni devono assumere che nuove vulnerabilità di questa classe possano emergere.

Fonti

• https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/
• https://www.rapid7.com/blog/post/etr-ivanti-connect-secure-zero-day-exploited-in-the-wild-cve-2026-104935
• https://thehackernews.com/2026/10/attacker-chains-three-ivanti-connect.html
• https://www.news4hackers.com/cisco-patches-zero-day-in-secure-email-gateway-exploited-in-attacks
• https://daily.dev/posts/cisco-patches-new-secure-email-gateway-zero-day-exploited-in-attacks-bdgrg8que
• https://www.cybersecuritydive.com/news/hackers-exploit-zero-day-cisco-email-gateway/830553/
• https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html
• https://socprime.com/blog/cve-2026-76461-critical-cisco-secure-email-gateway-zero-day-enables-root-rce/
• https://www.cve.org/CVERecord?id=CVE-2026-104935
• https://nvd.nist.gov/vuln/detail/cve-2026-76461
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti