Cisco avisa de vulnerabilidad crítica en Secure Email Gateway explotada en octubre de 2026

Cisco advierte que una vulnerabilidad crítica en Secure Email Gateway, identificada como CVE-2026-76519, ha sido utilizada en ataques reales durante octubre de 2026. Los atacantes pueden enviar correos electrónicos adjuntos especialmente creados a través del gateway para escribir archivos en el sistema operativo del dispositivo y ejecutar comandos con privilegios root sin autenticación. La vulnerabilidad tiene una puntuación CVSS de 9.8 y fue descubierta por el propio equipo de seguridad de Cisco mediante análisis interno. El problema afecta a dispositivos que cumplen dos condiciones: tienen activado el servicio de Reputación de Archivos, parte de la funcionalidad Advanced Malware Protection (AMP), y están vinculados a una política de correo, además de usar versiones de Content Scanner Tools inferiores a 25.3.0.5525. Tanto los gateways físicos como virtuales que ejecutan AsyncOS con la versión vulnerable están expuestos. Los productos Secure Email and Web Manager y Secure Web Appliance no se ven afectados. Cisco no ha revelado el número exacto de equipos comprometidos ni la identidad del grupo responsable.

La solución más rápida consiste en actualizar Content Scanner Tools a la versión 25.3.0.5525 o superior, lo que se puede hacer sin reiniciar el equipo mediante el comando contentscannerupdate en la interfaz de línea de comandos. Cisco ya incorporó la corrección en las versiones AsyncOS 15.5.5-014 y 16.5.0-780, lanzadas en septiembre de 2026, pero no existe una versión corregida para AsyncOS 16.0. Los clientes del servicio Secure Email Cloud gestionado ya reciben el escáner actualizado y Cisco contacta a los usuarios que muestren indicios de compromiso. Para verificar si un dispositivo ha sido atacado, los administradores pueden buscar la cadena "System Security" en los registros del sistema, aunque la ausencia de resultados no garantiza seguridad, pues los atacantes pueden eliminar rastros. Se recomienda inspeccionar también los registros del firewall y la red en busca de transferencias sospechosas a direcciones IP externas. En caso de que un appliance virtual sea comprometido, Cisco sugiere recopilar evidencia forense antes de proceder con cualquier actualización, ya que el proceso puede destruir los registros.