Cisco ha revelado una vulnerabilidad explotada activamente en Cisco Secure Email Gateway (SEG) que puede permitir a un atacante remoto y no autenticado ejecutar comandos con privilegios de root.
La compañía clasifica CVE-2026-76519 como crítica. La vulnerabilidad tiene una puntuación CVSS v3.1 de 9,8 y el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Bleeping Computer informó el 14 de octubre de 2026 que el equipo PSIRT de Cisco tuvo conocimiento de explotación activa en octubre. Cisco no ha atribuido la actividad a ningún actor de amenazas ni ha revelado su alcance. Los informes disponibles tampoco establecen cuántos sistemas fueron comprometidos con éxito.
Qué sistemas de Cisco están expuestos
El fallo está en la función Advanced Malware Protection de Cisco Secure Email Gateway y se clasifica como un problema de recorrido de ruta relativa, CWE-23.
Según el aviso del PSIRT de Cisco, los equipos SEG físicos y virtuales solo son vulnerables cuando se cumplen todas las condiciones siguientes:
- El equipo ejecuta una versión vulnerable de Cisco AsyncOS.
- File Reputation, parte de Cisco AMP, está habilitado y asignado a una política de correo.
- Content Scanner Tools es anterior a 25.3.0.5525.
Cisco cita Content Scanner Tools 25.2.0.5427 como ejemplo de versión vulnerable.
Cisco Secure Email and Web Manager y Cisco Secure Web Appliance no se ven afectados por CVE-2026-76519.
Según Bleeping Computer, Shadowserver estaba rastreando casi 300 instancias de SEG expuestas a internet. Esa cifra no corresponde al recuento de equipos vulnerables o comprometidos y podría incluir sistemas protegidos o honeypots.
Un adjunto manipulado puede llegar al sistema operativo subyacente
CVE-2026-76519 se debe a un tratamiento inadecuado de los adjuntos de correo cuando File Reputation está activo. Un atacante puede explotarlo enviando un adjunto especialmente construido a través de una pasarela afectada.
La explotación exitosa permite escrituras arbitrarias de archivos en el sistema operativo subyacente. Esas escrituras pueden derivar en la ejecución de comandos como root, lo que da al atacante el nivel de control más alto sobre el equipo.
El ataque no requiere autenticación ni interacción del usuario. Sin embargo, la explotación depende de la configuración de procesamiento de correo afectada y de la versión vulnerable de Content Scanner Tools.
Los administradores pueden comprobar si File Reputation está habilitado en:
Mail Policies > Incoming Mail Policies > Advanced Malware Protection
o en:
Mail Policies > Outgoing Mail Policies > Advanced Malware Protection
Después de seleccionar una política de correo, revise Enable File Reputation.
La versión instalada de Content Scanner Tools puede comprobarse desde la línea de comandos con:
contentscannerstatus
Una instalación corregida debe mostrar 25.3.0.5525 o posterior.
Versiones corregidas y migraciones necesarias
Cisco indica que no existen soluciones alternativas. Los administradores deben instalar una versión corregida o migrar cuando la rama actual no tenga corrección.
| Rama de AsyncOS | Primera versión corregida de Cisco o acción |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Sin versión corregida; migrar a una versión corregida |
| 16.5 | 16.5.0-780 |
| Anterior a 16.5 | Cisco recomienda encarecidamente migrar a 16.5.0-780 |
La corrección también se distribuye a través de Content Scanner Tools 25.3.0.5525 o posterior para las versiones de AsyncOS con licencia y soporte.
The Hacker News informa que Content Scanner Tools puede actualizarse sin actualizar ni reiniciar AsyncOS. Es posible que las actualizaciones automáticas de servicios ya hayan instalado el paquete corregido. Si no lo han hecho, los administradores pueden ejecutar:
contentscannerupdate
Las actualizaciones también pueden habilitarse en Security Services > Service Updates.
En el caso de la rama 16.0, los operadores deben seguir la instrucción explícita de Cisco de migrar, en lugar de suponer que una compilación que corrige otra vulnerabilidad de SEG también resuelve CVE-2026-76519.
Cómo comprobar indicios de compromiso
Cisco pide a los administradores que busquen en los registros del sistema del equipo con:
grep "System Security" system_logs
En los despliegues en clúster, cada miembro debe revisarse por separado. Cisco asocia los posibles mensajes con estas acciones:
-
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.
Cisco considera este resultado como un compromiso detectado y indica al cliente que siga sus recomendaciones de recuperación. -
System Security: Security scan did not complete. Contact TAC for further recommendations.
Póngase en contacto con el TAC de Cisco para recibir asistencia. -
System Security: No compromise indicator was found.
Actualice a una versión corregida, si corresponde.
Un resultado local limpio no sustituye la revisión de la telemetría externa. Como el acceso root puede permitir a un intruso eliminar u ocultar pruebas en la pasarela, Cisco recomienda encarecidamente revisar los registros del cortafuegos y de red fuera del equipo. Los administradores deben buscar cargas inesperadas hacia direcciones IP externas y descargas desde direcciones IP maliciosas.
Cisco afirma que se puso en contacto directo con los clientes de Secure Email Cloud cuyos dispositivos mostraban indicios de posible compromiso y que está trabajando en la remediación y la recuperación. También ha desplegado mitigaciones en su entorno de gestión en la nube. Los administradores de dispositivos gestionados en la nube podrían no tener acceso CLI suficiente para realizar por sí mismos las comprobaciones en el equipo.
Los equipos comprometidos requieren reconstrucción, no solo parcheado
En el caso de un equipo físico con indicios de compromiso, Cisco pide a los clientes que se pongan en contacto con el TAC y habiliten el acceso remoto para apoyar la investigación.
En el caso de los equipos virtuales, Cisco recomienda la siguiente secuencia:
- Conserve los datos forenses según la política de gestión de incidentes de la organización. Actualizar una instancia comprometida destruye registros y otra información forense.
- Despliegue una nueva máquina virtual con una versión corregida.
- Reconstruya la configuración sin importar archivos de configuración del sistema comprometido.
- Sustituya las credenciales y el material criptográfico instalados en el equipo.
- Siga monitorizando la actividad anómala.
Los despliegues en clúster requieren medidas más amplias. Los miembros se autentican entre sí mediante pares de claves SSH, por lo que las claves privadas recuperadas de un equipo comprometido podrían exponer a otros miembros. Por ello, Cisco recomienda encarecidamente restaurar todos los miembros de un clúster si al menos uno está comprometido.
Los sistemas sin explotación sospechada deben actualizarse a una versión corregida o recibir Content Scanner Tools 25.3.0.5525 o posterior lo antes posible desde el punto de vista operativo.
