Cisco Secure Email Gateway: vulnerabilità SQL injection con sfruttamento attivo

Il bollettino Cisco del 14 settembre 2026 segnala sfruttamento attivo di CVE-2026-76461, SQL injection in Secure Email Gateway fisico e virtuale, con possibile esecuzione come root. Non riguarda Secure Email and Web Manager o Secure Web Appliance. Sono disponibili aggiornamenti, non workaround. Per release e gestione di una compromissione, consultare la procedura Cisco aggiornata: per apparati fisici rivolgersi al TAC; per VM seguire le istruzioni di ricostruzione e rinnovo delle credenziali.

Trasformare la notizia in un intervento tracciabile

La checklist seguente è una proposta editoriale per organizzare il lavoro, non una procedura del produttore. Va affidata al responsabile IT o al fornitore che gestisce il gateway.

1. Aprire una scheda di verifica

Annota istanza, modello, versione AsyncOS, responsabile e fornitore. Conserva il riferimento al bollettino e l’ora della consultazione. Non condividere password o configurazioni riservate nel ticket generale.

2. Stabilire chi decide e chi esegue

Indica una persona che autorizza la manutenzione, una che la esegue e una che verifica il funzionamento della posta. Se il servizio è gestito, chiedi conferma scritta del perimetro e dell’esito: una risposta generica “tutto aggiornato” non identifica l’istanza controllata.

3. Valutare i segnali prima di modificare il sistema

Se sospetti un’intrusione, coinvolgi subito il referente incident response e il supporto del produttore. Concorda contenimento e raccolta delle evidenze prima delle azioni che potrebbero alterarle. Conserva copie protette, orari e provenienza dei materiali; limita l’accesso alle persone incaricate.

4. Pianificare aggiornamento e recupero

Confronta la versione con la tabella corrente del produttore e verifica compatibilità e percorso di aggiornamento. Prepara finestra, comunicazioni e piano di recupero. Un recupero che riporta a una versione vulnerabile richiede contenimento e decisione del responsabile: non equivale a risoluzione.

5. Verificare il risultato

Controlla versione installata, ricezione e invio con messaggi di prova autorizzati e funzionamento dei filtri. Registra anomalie e osservazioni successive. La patch e la gestione di un’eventuale intrusione sono due attività distinte: non chiudere un incidente solo perché l’aggiornamento è riuscito.

Caso d’uso simulato

Una PMI fittizia ha un gateway virtuale gestito da un fornitore. Il referente apre la scheda, identifica la versione e chiede la valutazione delle evidenze prima dell’intervento. Se emergono segnali sospetti, attiva il percorso di risposta concordato; altrimenti procede con la manutenzione approvata. Chi verifica la posta è diverso da chi comunica la chiusura al cliente interno, così l’esito tecnico non viene dato per scontato.

Non è una storia di un cliente Dedaloop né una prova effettuata in laboratorio.

Cosa chiedere al fornitore

• Quale istanza avete verificato, quando e con quale risultato?
• Quale release avete scelto e perché è compatibile?
• Come avete gestito eventuali segnali di intrusione?
• Chi conserva le evidenze e chi può accedervi?
• Quali prove di servizio sono riuscite dopo l’intervento?

Per migliorare il processo, misura quante istanze hanno un proprietario identificato e quante verifiche si chiudono con evidenze complete. Questi indicatori descrivono la qualità del presidio, non garantiscono l’assenza di attacchi.