CVE-2026-114424: RCE in SEPPmail Secure Email Gateway, come verificare e aggiornare

CVE-2026-114424 è una vulnerabilità critica (CVSS 4.0 pari a 9.2) in SEPPmail Secure Email Gateway nelle versioni precedenti alla 15.1.1. Un mittente remoto, senza autenticazione, può far eseguire comandi di sistema al worker che elabora la posta, con privilegi di root. Basta che sul gateway sia attiva una regola di sostituzione mittente o destinatario che usa dati presi dal messaggio e che la condizione di ricerca corrisponda. Se gestisci un SEPPmail esposto su internet, verifica subito la versione e le regole configurate.

Cosa è successo: la vulnerabilità CVE-2026-114424 in SEPPmail Secure Email Gateway

SEPPmail Secure Email Gateway permette di definire regole di sostituzione (replacement rules) su mittente e destinatario. Secondo la descrizione ufficiale, il testo di sostituzione influenzato dall'attaccante viene valutato come codice Perl. Il risultato è una code injection che si trasforma in esecuzione di comandi del sistema operativo. Il contesto in cui gira il worker di elaborazione della posta, nei test di validazione, era root: chi sfrutta la falla controlla l'intero appliance.

Chi è colpito: versioni vulnerabili di SEPPmail Secure Email Gateway

• SEPPmail Secure Email Gateway in tutte le versioni precedenti alla 15.1.1.
• La vulnerabilità si attiva solo se esiste almeno una regola di sostituzione attiva che usa dati derivati dal messaggio (per esempio campi dell'intestazione) e la cui condizione di ricerca viene soddisfatta dal messaggio in arrivo.

Un gateway senza regole di questo tipo non è sfruttabile tramite questo vettore, ma resta su una versione vulnerabile: va comunque aggiornato. Eventuali altre edizioni o prodotti del fornitore coinvolti vanno verificati sull'advisory ufficiale, perché la descrizione pubblicata cita solo il Secure Email Gateway.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il punteggio è 9.2 con gravità CRITICAL. Il vettore CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H dice tre cose chiare:

• AV:N, PR:N, UI:N: attacco via rete, nessuna credenziale richiesta, nessuna azione da parte di un utente. Una email è sufficiente.
• AT:P: servono condizioni precise sul bersaglio, cioè la regola attiva con dati del messaggio e la corrispondenza della condizione. È l'unico freno.
• VC:H, VI:H, VA:H: impatto totale su riservatezza, integrità e disponibilità del sistema vulnerabile.

Cosa ottiene un attaccante: esecuzione remota di codice (RCE) come root sul gateway. In pratica può leggere e modificare la posta in transito, accedere a chiavi e certificati usati per cifratura e firma, installare una persistenza e usare l'appliance come punto d'ingresso verso la rete interna. Al momento CVE-2026-114424 non risulta nel catalogo CISA KEV, quindi non c'è conferma pubblica di sfruttamento attivo. Dato che la condizione d'attacco è una semplice email, non conviene aspettare che ci arrivi.

Come capire se sei esposto: verifica versione, esposizione e log

Versione installata di SEPPmail

Accedi all'interfaccia di amministrazione web del gateway e controlla la versione nella sezione informazioni di sistema o nella pagina degli aggiornamenti. Se è inferiore alla 15.1.1 sei vulnerabile. Se hai più nodi in cluster, verifica ognuno.

Regole di sostituzione attive

Apri la configurazione delle regole mittente e destinatario. Cerca regole abilitate che costruiscono il testo di sostituzione a partire da dati del messaggio. Annota quali sono: serviranno per la mitigazione.

Esposizione su internet

Il gateway è pensato per ricevere posta, quindi di norma è raggiungibile sulla porta 25. Controlla i record MX del dominio con dig MX tuodominio.it e verifica da una rete esterna se la porta risponde, per esempio con nmap -p 25,465,587 indirizzo-pubblico. Se davanti c'è un servizio di filtraggio cloud o un relay, verifica che il gateway accetti connessioni solo dagli IP di quel servizio e non da chiunque.

Log e indicatori di compromissione

• Log di elaborazione della posta: messaggi con intestazioni mittente o destinatario anomale, contenenti caratteri tipici di codice (parentesi, punto e virgola, backtick, sequenze di escape) o stringhe molto lunghe.
• Processi figli inattesi generati dal worker di posta: shell, interpreti, strumenti di rete come curl o wget.
• Connessioni in uscita dall'appliance verso destinazioni non legittime, visibili sul firewall perimetrale.
• Nuovi utenti, chiavi SSH, voci di cron o file modificati di recente nelle aree di sistema.
• Esportazioni o accessi a chiavi private e certificati non riconducibili ad attività amministrativa pianificata.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La descrizione ufficiale indica come vulnerabili le versioni precedenti alla 15.1.1, quindi la 15.1.1 è la prima release che contiene la correzione. Prima di aggiornare, verifica sull'advisory del produttore il numero di build esatto, le note di rilascio e l'eventuale procedura per cluster o configurazioni ad alta disponibilità. L'aggiornamento si applica dalla funzione di update dell'appliance, secondo le istruzioni di SEPPmail. Fai uno snapshot o un backup di configurazione prima di procedere, ma solo se non sospetti una compromissione: in quel caso vale quanto scritto più avanti sulla preservazione delle prove.

Se non puoi aggiornare subito, i workaround della sezione seguente riducono la superficie d'attacco ma non chiudono la falla.

Cosa fare subito: mitigazioni e hardening

1. Aggiorna alla 15.1.1 o successiva. È l'unica correzione vera.
2. Disattiva le regole di sostituzione che usano dati derivati dal messaggio, o riscrivile con testo statico, finché il gateway non è aggiornato.
3. Limita l'ingresso SMTP agli IP del tuo filtro antispam o del provider, se ne usi uno. Se il gateway è il primo punto di contatto, valuta un filtro davanti.
4. Segmenta: il gateway non deve poter raggiungere liberamente server interni, domain controller e condivisioni. Regole firewall in uscita esplicite.
5. Ruota le credenziali usate dall'appliance e accessibili da root: password amministrative, bind LDAP o Active Directory, account di relay, chiavi API verso altri sistemi.
6. Valuta la rotazione di chiavi e certificati di cifratura e firma custoditi sul gateway se il sistema è rimasto esposto a lungo con regole vulnerabili attive.
7. Monitora per le settimane successive i log di posta e le connessioni in uscita dell'appliance.

Questi passaggi rientrano nelle misure di base che descrivo anche nell'articolo sul malware in azienda e le prime 24 ore: la logica è la stessa.

Se sospetti una compromissione: incident response e analisi forense

Un gateway di posta compromesso con privilegi di root è un incidente serio, perché tocca comunicazioni riservate e materiale crittografico. Se trovi indicatori sospetti:

• Non spegnere l'appliance e non aggiornare prima di aver preservato le prove: perderesti memoria volatile e tracce dei processi.
• Isola il sistema a livello di rete, bloccando il traffico in uscita e limitando quello in ingresso, senza interrompere l'alimentazione.
• Preserva i log: esporta i log di posta, di sistema e del firewall su un supporto separato, con hash per garantirne l'integrità.
• Copia forense dello storage e, se la piattaforma di virtualizzazione lo consente, della memoria. Questo permette di ricostruire cosa è stato fatto e quali dati sono stati toccati.
• Valuta la notifica: se sono coinvolti dati personali, il GDPR prevede obblighi verso il Garante e, in alcuni casi, verso gli interessati. Se l'azienda rientra nel perimetro NIS2, esistono obblighi ulteriori.

Come perito informatico forense mi occupo proprio di questa fase: acquisizione, analisi e relazione tecnica utilizzabile anche in sede legale o assicurativa. Per l'incident response i prezzi del listino vanno da 1.500 a 6.000 €, con maggiorazione del 50% per le urgenze; trovi il dettaglio nella pagina dei servizi dello studio.

Fonti ufficiali

• Scheda NVD di CVE-2026-114424 (National Vulnerability Database).
• Catalogo CISA Known Exploited Vulnerabilities, per verificare eventuali aggiornamenti sullo stato di sfruttamento.
• Advisory di sicurezza di SEPPmail per il Secure Email Gateway, da consultare per versioni corrette, note di rilascio e procedura di aggiornamento.

Se hai un SEPPmail in produzione e vuoi una verifica indipendente della configurazione, dell'esposizione e dei log, oppure hai già trovato segnali sospetti, puoi richiedere un preventivo gratuito con risposta entro 24 ore o scrivermi dalla pagina contatti, anche via WhatsApp. Lavoro di persona a Varese, Como, Milano e nel Nord Lombardia, da remoto nel resto d'Italia.