Alertas de segurança
Cisco Secure Email Gateway: falla crítica (CVSS 9.8) ya está siendo explotada
La CVE-2026-76519 permite que un remitente sin autenticación grabe archivos en el appliance y ejecute comandos como root. Cisco confirma ataques activos y no hay workaround: solo la actualización lo resuelve.
Cisco confirmó que los atacantes ya están explotando la CVE-2026-76519, una vulnerabilidad crítica (CVSS 9.8) en el Cisco Secure Email Gateway. Quienes utilizan el producto, físico o virtual, deben verificar la versión hoy.
Qué está sucediendo
Un remitente sin autenticación envía un correo electrónico con un archivo adjunto especialmente diseñado. La falla permite grabar archivos en el sistema operativo del appliance y, con ello, ejecutar comandos como root.
Cisco afirma que los ataques están activos y que tuvo conocimiento de ellos en octubre. El aviso no informa cuántos dispositivos fueron atacados, quién está detrás ni si se obtuvo acceso root. Sin embargo, la corrección ya existía desde el 14 de septiembre.
Quién está expuesto
El gateway solo es vulnerable cuando se cumplen las dos condiciones siguientes:
- el servicio File Reputation está habilitado y asignado a una política de correo;
- el Content Scanner Tools está en una versión anterior a la 25.3.0.5525.
No se ven afectados el Secure Email and Web Manager ni el Secure Web Appliance.
Qué hacer ahora
No existe workaround. La solución es actualizar:
| Versión de AsyncOS | Corrección |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Sin compilación corregida: migrar a una versión corregida |
| 16.5 | 16.5.0-780 |
Si la actualización completa no se puede realizar hoy, actualice el Content Scanner Tools a la versión 25.3.0.5525 o posterior. Se puede instalar sin actualizar el sistema y sin reiniciar. Use contentscannerstatus para confirmar la versión y contentscannerupdate si necesita forzar la actualización.
Cómo saber si ya hubo compromiso
Ejecute grep "System Security" system_logs en el appliance. Hay tres resultados posibles: indicio de compromiso, escaneo no completado (en este caso, contacte al TAC de Cisco) o ningún indicio.
Un resultado limpio no es prueba de que el equipo esté seguro. Revise también los registros de firewall y de red.
Si el appliance es virtual y está comprometido:
- preserve las evidencias antes de actualizar;
- implemente una nueva VM ya en versión corregida;
- reconfigure sin importar el archivo de configuración antiguo;
- renueve credenciales y material criptográfico;
- en clúster, restaure todos los miembros.
Contexto
El 14 de septiembre, Cisco divulgó la CVE-2026-76461, una inyección SQL en el análisis de correos electrónicos que también fue explotada y entró en el catálogo KEV de CISA. Cisco confirmó que dos fallas de este conjunto están bajo ataque: la inyección SQL de septiembre y esta, de escritura de archivos. Según la cobertura de The Hacker News, es la tercera falla de ejecución como root confirmada como explotada en productos de este tipo desde diciembre.
Cómo puede ayudar Indene
Si no está seguro de qué versión de AsyncOS o Content Scanner Tools está en producción, o necesita apoyo para investigar un posible compromiso, hable con nuestro equipo. [a confirmar: canal de contacto y CTA estándar de la casa]
Fuentes: aviso de Cisco; cobertura de The Hacker News.