Vulnerabilità Cisco Secure Email Gateway: patch per attacchi in corso

Il 14 settembre 2026, Cisco ha pubblicato un bollettino di sicurezza urgente per correggere una falla critica di tipo zero-day che interessa i propri dispositivi per la gestione della posta elettronica aziendale. La vulnerabilità, identificata con il codice CVE-2026-76461, risulta già sfruttata attivamente in rete da gruppi ostili non ancora identificati. A conferma della gravità della situazione, sia la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti sia l'Agenzia per la Cybersicurezza Nazionale (ACN / CSIRT Italia) hanno immediatamente inserito la minaccia nei rispettivi cataloghi delle vulnerabilità note e attive, sollecitando un intervento rapido da parte degli amministratori di sistema.

Le caratteristiche tecniche dell'attacco

La vulnerabilità Cisco Secure Email Gateway ha ricevuto un punteggio di gravità CVSS v3.1 pari a 9.8 su 10, classificandosi come critica. Il problema tecnico risiede in un difetto di iniezione SQL (classificato come CWE-89) all'interno del modulo di analisi dei messaggi, noto come email parsing, del software di base Cisco AsyncOS.

Il vettore di attacco è estremamente semplice per chi lo esegue e difficile da bloccare preventivamente: è sufficiente inviare un'email manipolata contenente istruzioni SQL malevole verso il gateway bersaglio. L'attacco avviene da remoto, non richiede alcuna autenticazione preventiva e non necessita di alcuna interazione da parte degli utenti o degli amministratori. Quando il sistema riceve il messaggio per analizzarlo e filtrarlo, le istruzioni malevole vengono inavvertitamente eseguite dal motore interno.

L'impatto di questa operazione è la compromissione totale del dispositivo. L'aggressore ottiene infatti la possibilità di eseguire codice e comandi arbitrari con i privilegi massimi di amministratore di sistema (root) sul sistema operativo sottostante.

Il problema interessa tutte le versioni di Cisco Secure Email Gateway, sia che si tratti di apparati fisici (hardware) sia di macchine virtuali, indipendentemente dalla configurazione specifica adottata dall'azienda. Cisco ha precisato che i prodotti Cisco Secure Email and Web Manager e Cisco Secure Web Appliance non sono invece vulnerabili a questo specifico attacco e non richiedono interventi legati a questa vulnerabilità.

L'impatto sulla sicurezza e sugli obblighi normativi

I gateway di posta elettronica rappresentano uno snodo critico per qualsiasi infrastruttura IT. Essendo posizionati sul perimetro della rete aziendale, processano l'intero traffico email in ingresso e in uscita. Ottenere i permessi di root su un apparato simile espone l'azienda a rischi severi e immediati.

In primo luogo, i criminali informatici possono intercettare, alterare o sottrarre comunicazioni riservate, allegati contenenti segreti industriali e credenziali di accesso. Un attaccante con il controllo del gateway potrebbe anche generare finte comunicazioni interne, inviando email di phishing ai dipendenti che risulterebbero del tutto legittime, in quanto provenienti dal server ufficiale dell'azienda.

In secondo luogo, il gateway compromesso diventa una testa di ponte ideale per muoversi lateralmente all'interno della rete locale. Sfruttando la posizione privilegiata dell'apparato, gli attaccanti possono aggirare le difese perimetrali per colpire server interni, database o postazioni di lavoro. Inoltre, l'accesso con privilegi massimi consente agli attaccanti di cancellare o manomettere i registri di sistema (log) direttamente a bordo macchina, nascondendo le proprie tracce e rendendo molto complessa l'analisi forense successiva all'incidente.

Dal punto di vista normativo, una compromissione di questo tipo si traduce in una potenziale violazione dei dati (data breach) e dell'infrastruttura. Per le imprese italiane, questo comporta l'attivazione degli obblighi di notifica previsti dal Regolamento Europeo per la Protezione dei Dati (GDPR) e, per le aziende che rientrano nei settori critici, dalla direttiva NIS2, con il conseguente rischio di sanzioni in caso di mancata o tardiva segnalazione alle autorità competenti.

Le azioni tecniche per mettere in sicurezza l'infrastruttura

Cisco ha confermato formalmente nel proprio bollettino che non esistono soluzioni temporanee o misure di mitigazione (workaround) per bloccare l'attacco. L'unica strada percorribile per proteggere i dati aziendali è l'aggiornamento immediato del software AsyncOS.

I responsabili IT devono pianificare l'installazione delle versioni correttive su tutti i nodi fisici e virtuali, seguendo queste indicazioni fornite dal produttore:

• Per i sistemi che utilizzano il ramo 15.5 e precedenti, è necessario aggiornare alla versione 15.5.5-0141.
• Per i sistemi che utilizzano il ramo 16.0, la versione sicura da installare è la 16.0.4-302.
• Per i sistemi che utilizzano il ramo 16.5, occorre passare alla versione 16.5.0-780.

Oltre all'aggiornamento, è fondamentale verificare se l'infrastruttura abbia già subito tentativi di intrusione prima dell'applicazione della patch. I tecnici devono accedere alla riga di comando (CLI) del gateway ed eseguire un'ispezione dei log di posta su ciascun nodo del cluster. Il comando specifico da utilizzare per la ricerca di indicatori di compromissione è il seguente:

grep -i "COPY.*TO PROGRAM" mail_logs

La presenza di riscontri a seguito di questa ricerca segnala un potenziale attacco andato a segno e richiede l'avvio di una procedura di risposta agli incidenti.

Infine, poiché l'accesso root permette agli aggressori di ripulire i log locali del gateway per nascondere l'avvenuta intrusione, l'analisi non deve limitarsi all'apparato stesso. È necessario controllare i registri dei firewall di rete per individuare eventuali connessioni anomale in uscita o trasferimenti di dati sospetti che hanno avuto origine dal gateway di posta verso indirizzi IP esterni sconosciuti.

Fonti

• Cisco Secure Email Gateway Flaw Exploited in the Wild, Enables Root Command Execution
• Cisco patches Secure Email Gateway zero-day exploited in attacks
• Root RCE Zero-Day in Cisco Secure Email Gateway Under Active Exploitation
• ACN - Sfruttamento in rete della CVE-2026-76461 relativa a Secure Email Gateway
• CISA Adds One Known Exploited Vulnerability to Catalog
• Cisco Security Advisory - Cisco Secure Email Gateway SQL Injection Vulnerability