Cisco ha segnalato lo sfruttamento attivo di CVE-2026-76461, una vulnerabilità critica nel software AsyncOS di Cisco Secure Email Gateway. Il difetto può consentire a un attaccante remoto non autenticato di eseguire comandi arbitrari con privilegi root sul sistema operativo del dispositivo.
L’azienda ha già pubblicato gli aggiornamenti per le release coinvolte e non indica mitigazioni alternative. Anche la CISA statunitense ha inserito la vulnerabilità nel catalogo KEV delle falle note come sfruttate.
Come può essere sfruttata la vulnerabilità
La falla ha un punteggio CVSS di 9,8 su 10 ed è legata a una convalida insufficiente nella logica che analizza le email. Secondo Cisco, l’attacco parte dall’invio al gateway di un messaggio appositamente costruito, contenente istruzioni SQL dannose.
Se l’operazione va a buon fine, quelle istruzioni permettono di eseguire comandi SQL arbitrari e di arrivare all’esecuzione di comandi con privilegi root sul sistema operativo sottostante. Non è quindi necessario che l’attaccante disponga prima di credenziali valide o di un accesso locale all’apparato.
L’impatto riguarda sia le installazioni fisiche sia quelle virtuali di Cisco Secure Email Gateway, indipendentemente dalla configurazione adottata. Cisco precisa invece che Secure Email and Web Manager e Secure Web Appliance non sono interessati dal problema.
Le versioni AsyncOS da aggiornare
Gli aggiornamenti correttivi sono disponibili per tutte le principali linee software elencate nell’avviso. Per la serie 15.5 e precedenti, la versione che risolve il problema è 15.5.5-0141; per AsyncOS 16.0 è 16.0.4-302; per la 16.5 è 16.5.0-780.
Cisco non ha indicato workaround: l’azione prevista è l’aggiornamento all’ultima release supportata che contiene la correzione. Questo aspetto è particolarmente rilevante perché l’azienda afferma di essere venuta a conoscenza di attività di sfruttamento nel corso di settembre 2026.
Controlli consigliati dopo l’aggiornamento
Installare la patch è il passaggio prioritario, ma non basta a escludere che un dispositivo sia già stato compromesso. Cisco invita gli amministratori a esaminare i mail_logs alla ricerca di istruzioni SQL sospette e, negli ambienti in cluster, a controllare i registri di ogni nodo.
Fra gli indicatori riportati compare la ricerca di stringhe riconducibili a “COPY.*TO PROGRAM” nei log di posta. La presenza di una voce corrispondente può indicare attività dannosa, ma va valutata nel contesto dell’ambiente e degli altri dati disponibili.
Poiché l’exploit può dare privilegi root, chi attacca potrebbe anche cancellare o nascondere tracce sul gateway. Per questo Cisco raccomanda di confrontare i dati locali con i log di rete e del firewall esterni al dispositivo, cercando per esempio upload inattesi verso IP esterni o download provenienti da indirizzi malevoli.
L’azienda dichiara inoltre di avere contattato direttamente i clienti proprietari di dispositivi Cisco Secure Email Cloud sui quali è stata rilevata attività dannosa. Non sono stati però comunicati né il numero di organizzazioni coinvolte né la portata complessiva degli attacchi.
CISA inserisce CVE-2026-76461 nel catalogo KEV
La CISA ha aggiunto CVE-2026-76461 al proprio catalogo Known Exploited Vulnerabilities, che raccoglie vulnerabilità per le quali esistono evidenze di sfruttamento. Per le agenzie federali civili dell’esecutivo statunitense, la scadenza indicata per applicare le correzioni è il 17 settembre 2026.
L’inserimento nel KEV non estende automaticamente quell’obbligo alle aziende private o alle organizzazioni fuori dagli Stati Uniti, ma conferma il livello di urgenza attribuito al caso dalle autorità americane.
Domande frequenti
Quali prodotti Cisco sono vulnerabili?
Sono interessati Cisco Secure Email Gateway fisici e virtuali che usano le versioni AsyncOS indicate da Cisco. Secure Email and Web Manager e Secure Web Appliance non risultano coinvolti nell’avviso.
Esiste una mitigazione senza aggiornare AsyncOS?
No. Cisco non indica workaround per CVE-2026-76461 e chiede di installare la versione corretta più recente supportata per la propria linea AsyncOS.
Perché controllare anche firewall e rete?
Con privilegi root, un attaccante può rimuovere o occultare elementi utili all’analisi sul gateway. I log esterni possono quindi aiutare a individuare connessioni, upload o download anomali originati dall’apparato.
Considerazioni finali
La combinazione tra accesso remoto senza autenticazione, privilegi root e sfruttamento già osservato rende questa una vulnerabilità da trattare come prioritaria, non come un aggiornamento ordinario. Il fatto che non esistano mitigazioni alternative restringe ulteriormente il margine operativo: la correzione software è il passaggio decisivo.
È altrettanto importante non fermarsi alla patch quando il gateway è esposto o mostra segnali sospetti. Cisco avverte che le tracce locali possono essere alterate; perciò il controllo incrociato con registri di rete e firewall è l’elemento concreto che può fare la differenza nell’accertare una possibile compromissione.
Per saperne di più
Cisco Secure Email Gateway SQL Injection Vulnerability