Cisco Secure Email Gateway: un solo correo trampa da acceso root, y la falla ya se explota

Cisco ha corregido CVE-2026-76519, una falla crítica de su pasarela de correo Secure Email Gateway: basta un correo con un adjunto manipulado para escribir archivos y ejecutar comandos como root en el equipo. Cisco confirma que ya se explota; CISA dio a las agencias de EE. UU. hasta el 17 de octubre.

Qué ha pasado

El 14 de octubre de 2026, Cisco publicó un aviso sobre CVE-2026-76519 (CVSS 9,8), una falla en la función Advanced Malware Protection (AMP) de Cisco Secure Email Gateway, su equipo de filtrado de correo instalado en las instalaciones del cliente. El fabricante indica que su equipo de seguridad tuvo conocimiento de una explotación activa en octubre. Ese mismo día, CISA incluyó la falla en su catálogo de vulnerabilidades explotadas, con plazo hasta el 17 de octubre para las agencias federales.

El error está en el tratamiento de los adjuntos cuando el servicio de reputación de archivos está activado. No hace falta autenticarse: basta con enviar a través de la pasarela un mensaje con un adjunto manipulado para escribir cualquier archivo en el sistema y ejecutar comandos con privilegios de root. Cisco afirma que no existe ninguna solución alternativa.

A quién afecta

Los equipos físicos y virtuales son vulnerables si se cumplen dos condiciones: File Reputation está activado en una política de correo (Mail Policies > Advanced Malware Protection) y el paquete Content Scanner Tools es anterior a 25.3.0.5525. Secure Email and Web Manager y Secure Web Appliance no están afectados. En Secure Email Cloud Gateway, Cisco dice haber desplegado ya la corrección.

Qué hacer ahora

1. Compruebe la versión con el comando contentscannerstatus. Por debajo de 25.3.0.5525, está expuesto.
2. Actualice el paquete con contentscannerupdate: no requiere reinicio ni actualizar AsyncOS, y los equipos con actualización automática lo reciben solos.
3. Planifique la actualización de AsyncOS: 15.5.5-014 o 16.5.0-780. Cisco recomienda pasar a 16.5.0-780 todo lo anterior a 16.5.
4. Busque rastros: localice los mensajes System Security en system_logs y revise los registros del cortafuegos y de la red en busca de envíos inesperados desde el equipo, ya que con acceso root un atacante puede borrar sus huellas localmente.
5. Si sospecha un compromiso, contacte con el TAC de Cisco para un equipo físico; reconstruya uno virtual con software corregido sin importar el antiguo archivo de configuración, y renueve credenciales y claves. En un clúster, restaure cada miembro: las claves SSH compartidas pueden haber sido robadas.

Nuestra opinión

Una pasarela de correo lee todos los mensajes dirigidos a la empresa, así que cualquiera con una dirección de correo puede alcanzarla. Un componente de seguridad que abre adjuntos debe parchearse tan rápido como un VPN, y su tráfico saliente debe vigilarse desde fuera del propio equipo.

Fuentes

• Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-76519
• The Hacker News — Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability

Cómo elegimos, verificamos y redactamos nuestros análisis →