Il 14 ottobre 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha inserito CVE-2026-76519 nel catalogo Known Exploited Vulnerabilities (KEV), sulla base di evidenze di sfruttamento attivo (avviso CISA). Cisco ha riferito di essere venuta a conoscenza dello sfruttamento nel corso di ottobre; secondo la cronologia riportata da The Hacker News, le versioni correttive erano state distribuite il 14 settembre (ricostruzione della cronologia). L’esposizione descritta riguarda configurazioni precise di Cisco Secure Email Gateway, non tutti gli apparati della famiglia.
Che cosa può consentire CVE-2026-76519
La vulnerabilità consiste in un attraversamento di percorso relativo durante l’elaborazione degli allegati da parte di Advanced Malware Protection (AMP). Secondo i dettagli tecnici riportati da The Hacker News e The Register, un mittente remoto non autenticato potrebbe inviare un’email appositamente costruita attraverso un gateway esposto e arrivare a scrivere file arbitrari o a eseguire comandi con privilegi di root sul sistema operativo (resoconto di The Register). La gravità indicata è CVSS 9,8.
Le condizioni segnalate riguardano gli apparati Cisco Secure Email Gateway fisici e virtuali che eseguono una versione vulnerabile di AsyncOS. Il rischio si applica quando sono presenti entrambe le condizioni seguenti:
Quali condizioni controllare
| Condizione segnalata | Come verificarla |
| File Reputation è abilitato e assegnato a una policy email. | Nella policy in uso, aprire Mail Policies > Incoming Mail Policies > Advanced Malware Protection oppure il percorso corrispondente per le policy in uscita, quindi controllare che Enable File Reputation sia selezionato. |
| Content Scanner Tools è precedente alla versione 25.3.0.5525. | Eseguire contentscannerstatus e controllare la versione installata. |
Le due verifiche vanno considerate insieme: la configurazione descritta come esposta richiede sia File Reputation attivo e associato a una policy sia Content Scanner Tools precedente alla soglia indicata. Perciò controllare soltanto la versione dello scanner o soltanto la policy non basta a identificare quella combinazione.
Versioni corrette e aggiornamento dello scanner
The Hacker News riporta come corrette le versioni AsyncOS 15.5.5-014 e 16.5.0-780. Per Content Scanner Tools, la versione indicata è 25.3.0.5525 o successiva, sulle versioni AsyncOS con licenza e supportate. Per i gateway precedenti alla versione 16.5, Cisco raccomanda, secondo lo stesso resoconto, il passaggio ad AsyncOS 16.5.0-780.
L’aggiornamento di Content Scanner Tools può essere installato senza aggiornare AsyncOS e senza riavviare l’apparato. Se gli aggiornamenti automatici sono disattivati, il comando riportato per avviare l’aggiornamento è contentscannerupdate; la versione effettivamente installata si controlla con contentscannerstatus.
Controlli e ripristino in caso di sospetta compromissione
Il controllo riportato per cercare indicatori di compromissione è grep "System Security" system_logs. Un risultato senza indicatori non garantisce che l’apparato sia integro: un aggressore con privilegi di root potrebbe rimuovere o nascondere tracce. Le indicazioni attribuite a Cisco da The Hacker News prevedono inoltre di eseguire il controllo su ogni membro del cluster e di esaminare i log del firewall e della rete esterna, prestando attenzione a trasferimenti insoliti, compresi gli invii verso indirizzi esterni sconosciuti.
Per un’appliance virtuale ritenuta compromessa, la sequenza riportata parte dalla conservazione dei dati forensi, prima di modificare o aggiornare il sistema. Si installa poi una nuova macchina virtuale con una versione corretta, si ricostruisce la configurazione senza importare il vecchio file, si rinnovano credenziali e materiale crittografico e si continua a monitorare l’attività. Cisco raccomanda inoltre di ripristinare tutti i membri di un cluster se anche uno solo risulta compromesso. Per un apparato fisico, le indicazioni riportate sono di contattare il Cisco Technical Assistance Center (TAC) e abilitare l’accesso remoto per l’analisi.
A chi si applica la direttiva CISA BOD 26-04
CISA specifica che la Binding Operational Directive 26-04 si applica alle agenzie del ramo esecutivo civile federale degli Stati Uniti (Federal Civilian Executive Branch, FCEB). La direttiva dà priorità alle vulnerabilità ad alto rischio su sistemi esposti pubblicamente quando lo sfruttamento consente il controllo completo e prevede verifiche di eventuali compromissioni prima dell’installazione delle correzioni. CISA incoraggia le altre organizzazioni a gestire le vulnerabilità del catalogo KEV con un approccio basato sul rischio, ma la direttiva riguarda le agenzie FCEB.
