In sintesi
I Cisco Secure Email Gateway con File Reputation attivo possono essere presi in controllo con privilegi di root da chiunque sia in grado di inviare loro un'e-mail. Cisco ha reso pubblica la falla, CVE-2026-76519 (CVSS 9.8), il 14 ottobre 2026, quando gli attaccanti la stavano già usando. La CISA ha fissato alle agenzie federali statunitensi la scadenza del 18 ottobre. Aggiornare Content Scanner Tools alla 25.3.0.5525 chiude la falla senza riavvio e, per i team che gestiscono il filtraggio della posta come parte della propria infrastruttura cloud e DevOps, va distribuito oggi stesso.
Cosa ha comunicato Cisco?
L'advisory di Cisco descrive un path traversal nella funzione Advanced Malware Protection (AMP) di Secure Email Gateway, l'appliance un tempo chiamata Email Security Appliance. Quando elabora un allegato, il gateway non limita correttamente i percorsi dei file, per cui un file costruito ad arte può essere scritto fuori dalla directory prevista. Secondo Cisco, un attacco riuscito consente di scrivere file arbitrari ed eseguire comandi con privilegi di root sul sistema operativo sottostante.
Non servono né credenziali né un clic dell'utente: all'attaccante basta far arrivare un messaggio al gateway, cioè esattamente ciò che un gateway di posta è fatto per accettare. Il PSIRT di Cisco dichiara di essere venuto a conoscenza dello sfruttamento attivo a ottobre 2026 e che è colpito un numero limitato di clienti. Non ha indicato chi siano gli attaccanti né cosa abbiano fatto dopo l'accesso.
Chi è esposto?
Sono coinvolti sia i gateway fisici sia quelli virtuali, ma solo quando coincidono due impostazioni. Il servizio File Reputation deve essere attivo e assegnato a una mail policy, e il componente Content Scanner Tools deve essere precedente alla 25.3.0.5525. Gli amministratori possono leggere la versione del componente con il comando CLI contentscannerstatus e controllare la casella «Enable File Reputation» in Mail Policies > Advanced Malware Protection.
Secondo Cisco la correzione è contenuta in Content Scanner Tools 25.3.0.5525 e successive, e l'aggiornamento di questo componente non richiede né riavvio né un upgrade completo di AsyncOS. Per chi preferisce una release completa, Cisco indica AsyncOS 15.5.5-014 e 16.5.0-780 come prime versioni corrette; i clienti sulla 16.0 devono migrare. Il servizio ospitato Secure Email Cloud Gateway è già stato messo in sicurezza da Cisco, che ha contattato i clienti in cui ha trovato segni di compromissione.
Perché il gateway di posta viene colpito di continuo?
È la seconda zero-day con accesso root senza autenticazione nella stessa famiglia di prodotti nel giro di circa un mese. A settembre Cisco ha corretto CVE-2026-76461, una falla nel parsing delle e-mail di AsyncOS, e a gennaio CVE-2025-20393, un bug AsyncOS di gravità massima che gli attaccanti hanno usato per ottenere persistenza. Il nuovo bug si trova altrove – nel percorso di scansione antimalware –, quindi la patch di settembre non serve.
Dal punto di vista di un attaccante lo schema ha senso. Un gateway di posta riceve input non attendibili da tutta Internet, decomprime e analizza formati di file complessi, gira su un'appliance che raramente ha un EDR e si trova accanto a flussi di posta sensibili. Proprio la funzione che ispeziona gli allegati pericolosi diventa la superficie d'attacco. Secondo The Register, dal novembre 2021 la CISA ha aggiunto al catalogo KEV 100 vulnerabilità Cisco.
Cosa cambia per i team negli Stati Uniti e nell'UE
Root su un gateway di posta significa potenzialmente accesso a tutto ciò che vi transita: fatture, contratti, link per il reset delle password, corrispondenza con i clienti. Per le aziende soggette a GDPR, NIS2 o DORA un gateway compromesso è un possibile incidente sui dati personali, e i termini di notifica decorrono da quando se ne viene a conoscenza. Ai team servono prove, non solo un numero di versione aggiornato: il controllo dei log indicato da Cisco più i registri di firewall e proxy su upload o download anomali dall'appliance.
La seconda lezione riguarda i processi di patching. Molte organizzazioni aggiornano le appliance solo nelle finestre di manutenzione del firmware completo. Qui la correzione è un componente dello scanner aggiornato separatamente: chi segue solo la versione di AsyncOS rischia di non accorgersene. Gli inventari dei dispositivi di sicurezza perimetrale dovrebbero censire sottocomponenti e motori di firme, non solo la build del sistema operativo.
Infine, due bug con accesso root in un mese sono un buon motivo per ridurre il raggio d'impatto. Limitare le connessioni in uscita del gateway, tenere l'interfaccia di gestione fuori da Internet e segmentarlo dai sistemi interni trasforma la prossima zero-day da violazione a incidente contenuto.
Cosa significa per le aziende italiane?
In Italia molte PMI, strutture sanitarie ed enti locali gestiscono ancora il gateway di posta on-premise, spesso tramite un system integrator o un fornitore di servizi gestiti. Sono proprio queste appliance a dover essere aggiornate da chi le amministra: la messa in sicurezza che Cisco ha già applicato al servizio cloud ospitato non vale per i dispositivi installati presso il cliente. Se la posta è affidata a un fornitore esterno, chiedete una conferma scritta della versione di Content Scanner Tools e dell'esito del controllo di compromissione, e seguite gli avvisi pubblicati dal CSIRT Italia dell'ACN sui prodotti Cisco.
Sul piano normativo, se il gateway dava accesso a dati personali, l'articolo 33 del GDPR impone di norma la notifica della violazione al Garante privacy entro 72 ore. I soggetti che rientrano nella NIS2, recepita con il D.Lgs. 138/2024, hanno inoltre obblighi di notifica verso lo CSIRT Italia, con una prima segnalazione entro 24 ore. Documentate fin da subito verifica della versione, controllo di compromissione e decisione sulla notifica: è ciò che chiederà l'autorità.
Cosa fare questa settimana
- Verificare l'esposizione. Eseguite
contentscannerstatussu ogni gateway e controllate se File Reputation è attivo in qualche mail policy. - Aggiornare lo scanner. Portate Content Scanner Tools alla 25.3.0.5525 o successiva (senza riavvio), oppure aggiornate ad AsyncOS 15.5.5-014 / 16.5.0-780.
- Eseguire il controllo di compromissione. Usate
grep "System Security" system_logscome raccomanda Cisco; se compare un indicatore di compromissione seguite l'advisory e, se la scansione non si è conclusa, aprite un caso TAC. - Guardare oltre il dispositivo. Esaminate i log di firewall e rete da inizio ottobre alla ricerca di traffico anomalo da e verso l'appliance, perché un attaccante con root può cancellare le tracce locali.
- Ruotare le credenziali e contenere. Se sospettate una compromissione, ruotate le credenziali di amministrazione e di integrazione del gateway e limitatene l'accesso in uscita.
Domande frequenti
Che cos'è CVE-2026-76519?
CVE-2026-76519 è una vulnerabilità critica (CVSS 9.8) nella funzione Advanced Malware Protection di Cisco Secure Email Gateway, pubblicata il 14 ottobre 2026 nell'advisory cisco-sa-esa-afw-zqYJkjxp. Si tratta di un path traversal relativo (CWE-23) nella gestione degli allegati: un attaccante remoto non autenticato può inviare un allegato costruito ad arte, scrivere file arbitrari ed eseguire comandi come root.
Quali Cisco Secure Email Gateway sono vulnerabili?
Sono coinvolti i Secure Email Gateway fisici e virtuali quando si verificano entrambe le condizioni: il servizio File Reputation è attivo e assegnato a una mail policy, e il componente Content Scanner Tools è precedente alla versione 25.3.0.5525. La versione si verifica con il comando CLI contentscannerstatus.
Come si corregge CVE-2026-76519?
Aggiornate Content Scanner Tools alla 25.3.0.5525 o successiva; secondo Cisco non servono né riavvio né upgrade completo del software. Cisco indica anche le release AsyncOS corrette 15.5.5-014 e 16.5.0-780, mentre i clienti sulla 16.0 devono migrare a una release corretta. Non esiste un workaround.
CVE-2026-76519 è la stessa falla della zero-day di settembre?
No. La zero-day di settembre, CVE-2026-76461, riguardava il parsing delle e-mail di AsyncOS. CVE-2026-76519 si trova nel percorso di scansione antimalware degli allegati. Entrambe danno a un attaccante non autenticato l'accesso root con il solo invio di un'e-mail, quindi la patch della prima non protegge dalla seconda.
Bisogna notificare il Garante privacy?
Dipende da cosa permetteva di raggiungere il gateway. Se potevano essere esposti dati personali, l'articolo 33 del GDPR impone di norma la notifica al Garante entro 72 ore; i soggetti NIS2 hanno anche obblighi di notifica verso lo CSIRT Italia. In ogni caso documentate verifiche e decisione.
Fonti
Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability, cisco-sa-esa-afw-zqYJkjxp (October 14, 2026)
BleepingComputer — Cisco patches new Secure Email Gateway zero-day exploited in attacks (October 14, 2026)
The Register — Cisco make-me-root email bug exploited as a 0-day by unknown crims (October 14, 2026)