Cisco ha confermato lo sfruttamento attivo di CVE-2026-76461 contro Cisco Secure Email Gateway. La vulnerabilità è una SQL injection critica con punteggio CVSS 9.8: un attaccante remoto non autenticato può inviare un’email appositamente costruita attraverso un appliance vulnerabile e arrivare a eseguire comandi con privilegi root.
Non esiste un workaround che sostituisca la patch. La priorità è verificare la versione AsyncOS, aggiornare a una release corretta e controllare i log per eventuali indicatori di compromissione. Se ci sono segnali di sfruttamento, installare la patch non basta: serve trattare l’appliance come potenzialmente compromessa.
CVE-2026-76461: cosa permette di fare a un attaccante
Nel Security Advisory pubblicato il 14 settembre 2026, Cisco spiega che il problema si trova nella logica di parsing delle email di AsyncOS. Una validazione insufficiente permette di inserire istruzioni SQL malevole in un messaggio che attraversa il gateway.
Lo sfruttamento riuscito può portare prima all’esecuzione di istruzioni SQL arbitrarie e poi a comandi con privilegi root sul sistema operativo sottostante. Non servono credenziali e non è richiesta interazione dell’utente, motivo per cui il vettore CVSS è AV:N/AC:L/PR:N/UI:N.
| Voce | Dato |
|---|---|
| CVE | CVE-2026-76461 |
| Gravità | Critical, CVSS 9.8 |
| Accesso richiesto | Nessuna autenticazione |
| Vettore | Email costruita con SQL malevolo |
| Impatto | Esecuzione di comandi con privilegi root |
| Sfruttamento attivo | Sì, confermato da Cisco PSIRT a settembre 2026 |
| Workaround | Nessuno |
Quali prodotti Cisco sono vulnerabili
Cisco indica come vulnerabili i Cisco Secure Email Gateway fisici e virtuali, indipendentemente dalla configurazione. Questo significa che la verifica non può fermarsi alle sole appliance esposte direttamente su Internet o a una funzione specifica attivata.
Cisco ha invece confermato che Secure Email and Web Manager e Secure Web Appliance non sono interessati da questa specifica CVE. La distinzione è importante perché i nomi dei prodotti appartengono allo stesso ecosistema, ma l’advisory non si applica indistintamente a tutti.
Versioni corrette di AsyncOS per Secure Email Gateway
Cisco ha pubblicato tre soglie di correzione. Se l’appliance usa una versione precedente, la release deve essere confrontata con la tabella ufficiale e portata almeno al primo livello corretto previsto per il proprio ramo.
| Ramo AsyncOS | Prima release corretta |
|---|---|
| 15.5 e precedenti | 15.5.5-014 |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 |
Cisco raccomanda esplicitamente di migrare a 16.5.0-780 quando l’ambiente lo consente. I dispositivi Cisco Secure Email Cloud sono già stati aggiornati dal produttore a questa release; per le installazioni on-premise la verifica resta a carico dell’amministratore.
Come aggiornare Secure Email Gateway
Dall’interfaccia web dell’appliance Cisco indica questo percorso:
- Apri System Administration.
- Entra in System Upgrade.
- Apri Upgrade Options.
- Seleziona Download and Install.
- Scegli una release corretta e compatibile.
- Completa le opzioni di preparazione e premi Proceed.
- Attendi il completamento e il riavvio dell’appliance.
Prima dell’upgrade verifica compatibilità, spazio disponibile, dipendenze del cluster e finestra di manutenzione. Non scegliere una build solo perché il numero è più alto: il riferimento resta la matrice Fixed Software dell’advisory Cisco per la release installata.
Come controllare se CVE-2026-76461 è stata sfruttata
Cisco pubblica un controllo specifico sui mail_logs. Gli amministratori devono cercare istruzioni SQL sospette, con particolare attenzione a pattern che includono COPY ... TO PROGRAM. In un cluster il controllo va eseguito sui log di ogni nodo.
grep -i "COPY.*TO PROGRAM" mail_logsLa presenza di una corrispondenza può indicare attività malevola, ma l’assenza del pattern non prova che l’appliance sia pulita. Con privilegi root un attaccante può tentare di cancellare o nascondere tracce. Cisco raccomanda infatti di confrontare anche log di firewall, rete e sistemi esterni all’appliance, cercando upload inattesi o connessioni verso indirizzi sospetti.
Se sospetti una compromissione, la patch non basta
Per un’appliance fisica Cisco raccomanda di contattare il Cisco Technical Assistance Center. Per una macchina virtuale, l’advisory consiglia di preservare prima le informazioni forensi e, quando possibile, distribuire una nuova VM con una release corretta, ricostruire la configurazione e rinnovare credenziali e materiale crittografico presenti sull’appliance.
- Conserva log, snapshot e altre evidenze secondo la policy di incident response.
- Non cancellare subito file sospetti se servono all’analisi forense.
- Per una virtual appliance, valuta una nuova istanza già corretta.
- Ricostruisci la configurazione da una fonte affidabile.
- Ruota password, credenziali, certificati e altri segreti che potevano essere raggiunti dall’appliance.
- Continua il monitoraggio anche dopo il ripristino.
Questo approccio è coerente con altri incidenti su appliance perimetrali. Nel nostro approfondimento su Cisco FMC e CVE-2026-20079 abbiamo visto che chiudere la falla non elimina automaticamente persistenze, tunnel o credenziali già sottratte.
Perché questo caso è più urgente delle falle Cisco senza exploit noti
A settembre Cisco ha corretto anche altre vulnerabilità critiche. Per esempio, abbiamo analizzato le falle di IOS XR e Nexus 9000, dove al momento dell’advisory Cisco non indicava sfruttamento attivo. CVE-2026-76461 ha invece un elemento aggiuntivo: PSIRT ha confermato attività di exploit nel mondo reale.
Questo sposta la priorità dalla semplice manutenzione preventiva alla combinazione di patching e verifica dell’eventuale compromissione. Un Secure Email Gateway è inoltre un componente esposto a traffico email non fidato per definizione, quindi il vettore di attacco descritto dall’advisory è direttamente rilevante per la sua funzione.
Cosa fare oggi
Censisci subito tutti i Cisco Secure Email Gateway on-premise, rileva la versione AsyncOS e porta ogni appliance a una release corretta. Per 15.5 e precedenti il primo fix è 15.5.5-014, per 16.0 è 16.0.4-302 e per 16.5 è 16.5.0-780. Cisco raccomanda quest’ultima release quando la migrazione è supportata.
In parallelo controlla i mail_logs e i log esterni. Se trovi indicatori compatibili con lo sfruttamento, non limitarti all’upgrade: preserva le evidenze, coinvolgi il team di incident response o Cisco TAC e considera compromessi i segreti accessibili dall’appliance finché non hai completato la verifica.
