Cisco ha emitido una advertencia sobre ataques activos que explotan una vulnerabilidad crítica en su Secure Email Gateway. La falla permite que un remitente sin autenticación escriba archivos en el sistema operativo del dispositivo, lo que podría llevar a la ejecución de comandos como root. La vulnerabilidad, catalogada como CVE-2026-76519, tiene una puntuación CVSS de 9.8.
El ataque se lleva a cabo enviando un correo electrónico con un archivo adjunto malicioso a través de la puerta de enlace. Si tiene éxito, el atacante podría ejecutar comandos con privilegios de root. Solo son vulnerables los dispositivos que tienen habilitado el servicio File Reputation y una versión de Content Scanner Tools anterior a la 25.3.0.5525.
La corrección está disponible desde el 14 de septiembre en las versiones de AsyncOS 15.5.5-014 y 16.5.0-780, que Cisco ha identificado como soluciones para esta falla. Además, se ha lanzado una actualización de Content Scanner Tools, versión 25.3.0.5525 o posterior, que se instala sin necesidad de actualizar el software ni reiniciar el sistema.
Cisco descubrió la vulnerabilidad durante sus escaneos internos de seguridad y tuvo conocimiento de los ataques en octubre. La compañía no ha revelado cuántos dispositivos han sido afectados, quién está detrás de los ataques ni si los atacantes obtuvieron acceso root en alguno de ellos.
Cisco ha contactado a los clientes de su servicio gestionado Secure Email Cloud cuyos dispositivos mostraron indicadores de posible compromiso y está trabajando en la remediación y recuperación. Los administradores de estas puertas de enlace gestionadas podrían no tener acceso a la línea de comandos para ejecutar la comprobación de compromiso, pero Cisco ya ha implementado el escáner corregido, por lo que no necesitan realizar ninguna acción para obtener la solución.
Quién está expuesto
Para que un dispositivo sea vulnerable, deben cumplirse dos condiciones: que el servicio File Reputation esté habilitado y asignado a una política de correo, y que la versión de Content Scanner Tools sea anterior a 25.3.0.5525. Esto afecta tanto a puertas de enlace físicas como virtuales en versiones vulnerables de AsyncOS. Los productos Secure Email and Web Manager y Secure Web Appliance no están afectados.
Para verificar la primera condición, se debe acceder a Mail Policies > Incoming Mail Policies > Advanced Malware Protection (o la misma ruta en Outgoing Mail Policies), seleccionar una política de correo y comprobar la casilla Enable File Reputation. Para la segunda, ejecutar el comando contentscannerstatus en la CLI, que muestra la versión y la fecha de la última actualización.
Cómo solucionarlo
La vía más rápida es actualizar el escáner. Las puertas de enlace con actualizaciones automáticas de Content Scanner Tools habilitadas no requieren acción una vez aplicada la actualización, por lo que se debe confirmar con contentscannerstatus que la versión es 25.3.0.5525 o posterior. Si las actualizaciones automáticas están desactivadas, se debe ejecutar contentscannerupdate en la CLI o activarlas en Security Services > Service Updates.
La corrección completa de AsyncOS se encuentra en estas primeras versiones corregidas:
- 15.5: 15.5.5-014
- 16.0: no hay compilación corregida. Migrar a una versión corregida.
- 16.5: 16.5.0-780
- Content Scanner Tools (todas las versiones de AsyncOS con licencia y soporte): 25.3.0.5525 o posterior
Cisco recomienda que cualquier puerta de enlace anterior a la 16.5 migre a la 16.5.0-780. Una puerta de enlace 16.0 en la versión 16.0.4-302, que corrigió la falla de inyección SQL de septiembre, no está corregida para esta nueva vulnerabilidad. La advertencia no especifica qué versiones cuentan con licencia y soporte para la actualización del escáner. Para una puerta de enlace 16.0 que permanezca en esa versión, la versión del escáner mostrada por contentscannerstatus es la única confirmación que ofrece la advertencia.
No existe un workaround. Para una máquina virtual que muestre signos de compromiso, Cisco recomienda una reconstrucción con nuevas credenciales y advierte que actualizar una instancia comprometida destruye los datos forenses y los registros.
Cómo comprobar si hay compromiso
La comprobación de Cisco para detectar intentos de explotación se realiza con un solo comando en el dispositivo: grep "System Security" system_logs. Devuelve uno de estos tres mensajes:
- System Security: Suspected compromise indicator was found. Contact TAC for further recommendations. Compromiso detectado. Siga los pasos de recuperación a continuación.
- System Security: Security scan did not complete. Contact TAC for further recommendations. Contacte al Centro de Asistencia Técnica (TAC) de Cisco.
- System Security: No compromise indicator was found. No se detectó compromiso con esta comprobación. Actualice si el dispositivo está en una versión afectada.
Ejecute este comando en cada miembro de un clúster. Un resultado limpio no es prueba definitiva: un atacante con acceso root podría eliminar u ocultar evidencias, por lo que también se deben revisar los registros de firewall y de red fuera del dispositivo en busca de cargas inesperadas a direcciones IP externas o descargas desde direcciones maliciosas. La advertencia no especifica qué busca el escaneo.
Si un dispositivo está comprometido
Para un dispositivo físico, Cisco solicita a los clientes que contacten al TAC y habiliten el acceso remoto para que sus ingenieros puedan investigar. Para una máquina virtual, los pasos son:
- Preservar primero los datos forenses. Actualizar una instancia comprometida destruye sus registros y evidencias.
- Desplegar una nueva máquina virtual en una versión corregida.
- Reconstruir la configuración sin importar ningún archivo de configuración previo.
- Renovar las credenciales y el material criptográfico del dispositivo, y luego mantener la monitorización para detectar comportamientos inusuales.
Los miembros del clúster se autentican entre sí mediante pares de claves SSH. Las claves privadas de un miembro comprometido podrían dar al atacante acceso a los demás, por lo que Cisco recomienda restaurar todos los miembros de un clúster que contenga al menos un dispositivo comprometido. A los clientes de Secure Email Cloud que han sido contactados se les solicita renovar las credenciales y el material criptográfico siempre que sea posible.
La versión de septiembre
Esta es la segunda vulnerabilidad en Secure Email Gateway que Cisco confirma como explotada en un mes. El 14 de septiembre, la compañía reveló CVE-2026-76461, una falla de inyección SQL en el análisis de correo de la puerta de enlace que podría permitir a un remitente no autenticado ejecutar comandos como root mediante un correo manipulado.
Esa falla afecta a todas las configuraciones y fue añadida al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA el mismo día. Ambas fallas residen en partes diferentes del software y tienen comprobaciones de registro distintas, y Cisco no ha vinculado los ataques.
El mismo día, Cisco publicó una versión de endurecimiento para la puerta de enlace y para Secure Email and Web Manager que agrupaba errores encontrados internamente en cinco CVE paraguas por clase de debilidad: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 y CVE-2026-76443, cada uno con una puntuación de 9.8, y CVE-2026-76442 con 7.5. Cada puntuación es la más alta entre los errores de esa clase, y la advertencia incluía las compilaciones 15.5.5-014 y 16.5.0-780.
Cisco actualizó esa advertencia el miércoles y ahora dice: "Dos de ellos se sabe que están siendo explotados activamente": la falla de escritura de archivos, que pertenece a la clase de salto de ruta, y la falla de inyección SQL de septiembre, que pertenece a la clase de neutralización incorrecta. No tiene conocimiento de ataques contra los otros errores de la versión.
Según la política de divulgación que Cisco estableció en junio, los errores corregidos en versiones de endurecimiento comparten CVE agrupados, y una falla recibe su propio CVE cuando, entre otras razones, se sabe que está siendo explotada. La falla de escritura de archivos se corrigió en septiembre dentro del grupo de salto de ruta y recibió su propia advertencia el miércoles.
También es la tercera falla a nivel de root en estos dispositivos que Cisco confirma como explotada desde diciembre, cuando un grupo vinculado a China que Cisco Talos rastrea como UAT-9686 utilizó un zero-day en la función de cuarentena de spam, CVE-2025-20393, que Cisco parcheó en enero.
Deja una respuesta