Cisco confirma explotación activa de CVE-2026-76519 en Secure Email Gateway

Cisco confirma explotación activa de CVE-2026-76519, un fallo crítico en Secure Email Gateway que permite escribir archivos y ejecutar comandos como administrador desde un correo con un adjunto preparado. El riesgo depende de la configuración del gateway, pero si se cumplen las condiciones afectadas, el atacante no necesita una cuenta ni interacción adicional de la persona que recibe el mensaje.

Cuándo queda expuesto el gateway

Cisco publicó el aviso el 14 de octubre y asignó a la vulnerabilidad una puntuación CVSS de 9,8 sobre 10. El problema está en el tratamiento de adjuntos de la función Advanced Malware Protection (AMP): una persona atacante remota y sin autenticar puede enviar un mensaje manipulado a un equipo vulnerable y conseguir escritura arbitraria de archivos en el sistema operativo, seguida de ejecución remota de comandos con privilegios de root.

No basta con que una organización tenga “un producto Cisco” en el inventario. El aviso limita el alcance a Cisco Secure Email Gateway, físico o virtual, con una versión vulnerable de AsyncOS, File Reputation activado y asignado a una política de correo, y Content Scanner Tools anterior a 25.3.0.5525. Secure Email and Web Manager y Secure Web Appliance no están afectados por esta CVE, según Cisco; conviene distinguir esos productos antes de convertir una alerta en una búsqueda de parches indiscriminada.

La explotación ya está confirmada por Cisco PSIRT y la vulnerabilidad se incorporó a la lista KEV de CISA, que reúne fallos con evidencia de explotación conocida. Eso vuelve urgente la revisión de los sistemas expuestos a Internet y de los que procesan correo de terceros, aunque el advisory no describe una explotación automática de cualquier gateway ni ofrece un mecanismo de mitigación que sustituya al parche.

-InfraCrew dice: En correo, “solo era un adjunto” deja de ser una frase tranquilizadora bastante rápido.-

Parchear y comprobar el alcance

En la rama AsyncOS 15.5, Cisco identifica 15.5.5-014 como primera versión corregida; en la rama 16.5, la corrección está en 16.5.0-780. Quienes estén en 16.0 deben migrar a una versión corregida. También se distribuye el arreglo mediante Content Scanner Tools 25.3.0.5525 o posterior para las versiones licenciadas y soportadas que Cisco indica en el aviso. No hay workaround para este fallo; aplicar el paquete actualizado del scanner no requiere reiniciar el producto.

La comprobación debe hacerse sobre la política de correo y sobre el componente instalado, no solo mirando el número de AsyncOS. El administrador puede revisar si File Reputation está marcado en la configuración de Advanced Malware Protection y consultar contentscannerstatus en la interfaz de línea de comandos para confirmar la versión del scanner. Si las actualizaciones automáticas del componente están desactivadas, Cisco indica que hay que aplicar manualmente la versión corregida; en Secure Email Cloud, Cisco afirma que ya desplegó la actualización en su infraestructura gestionada.

-InfraCrew dice: Comprobar el scanner y la política de correo es una revisión pequeña; dejar el inventario en “Cisco, versión desconocida” no ayuda a nadie.-

Si hay señales de intrusión

Un parche evita seguir expuesto, pero no responde por sí solo a la pregunta de si alguien entró antes. Cisco recomienda revisar system_logs en cada equipo del cluster y buscar los mensajes de seguridad que detalla en el advisory; también pide contrastar los registros de red y firewall externos por conexiones inesperadas iniciadas desde el gateway. Esos rastros pueden orientar la investigación, pero la propia compañía advierte que un atacante con root puede borrar u ocultar evidencias.

Si aparece un indicador de compromiso (IoC), el equipo debe tratar el appliance como potencialmente comprometido y coordinar la respuesta con soporte de Cisco. Para un dispositivo virtual, el fabricante recomienda conservar primero la información forense, porque actualizar la instancia puede destruir datos y registros; después plantea desplegar una VM nueva con software corregido, reconstruir su configuración sin importar una copia anterior y renovar credenciales y material criptográfico. Si un miembro comprometido pertenece a un cluster, también hay que valorar la recuperación de los demás: Cisco señala que las claves SSH compartidas entre miembros podrían quedar expuestas.

Para equipos físicos, Cisco aconseja contactar con su TAC si se sospecha explotación. La secuencia práctica para hoy es clara: identificar los gateways que cumplen las condiciones, confirmar la versión real del scanner, instalar el arreglo correspondiente y revisar los registros antes de limpiar o reconstruir. Cerrar la alerta con un número de versión no sustituye la investigación si hay señales de acceso; en esta vulnerabilidad, arreglar y comprobar son dos trabajos distintos.

-InfraCrew dice: Si el gateway vive en un cluster, la investigación también debe recorrerlo entero.-

Diccionario de la Crew

• Ejecución remota de comandos: capacidad de ejecutar instrucciones en un equipo a través de una red, sin acceso físico local.
• Indicador de compromiso (IoC): señal técnica que puede revelar que un sistema fue atacado o manipulado.
• KEV: catálogo de CISA que recoge vulnerabilidades con explotación conocida.
• Root: cuenta con privilegios máximos en sistemas Unix y Linux.