Cisco ha confirmado ataques activos contra CVE-2026-76519, una vulnerabilidad crítica de escritura arbitraria de archivos en Cisco Secure Email Gateway. Si se explota con éxito, un atacante remoto sin autenticar podría llegar a ejecutar comandos como root en el sistema operativo de la pasarela. El aviso oficial se publicó el 14 de octubre de 2026 y asigna al fallo una puntuación CVSS de 9,8 sobre 10.
La alerta no implica que cualquier servidor de correo que use Cisco esté expuesto de forma automática. El problema depende de una combinación concreta de configuración y versión del componente que analiza los adjuntos. Pero la posibilidad de ejecución con privilegios máximos y la confirmación de explotación real hacen que los administradores deban comprobarlo cuanto antes.
Cómo se puede explotar CVE-2026-76519
El fallo se encuentra en la función Advanced Malware Protection (AMP) de Cisco Secure Email Gateway. La causa es el tratamiento incorrecto de los archivos adjuntos cuando está activa la función File Reputation. Un atacante puede enviar un mensaje con un adjunto preparado para provocar una escritura en una ruta arbitraria del sistema subyacente; esa capacidad puede desembocar en ejecución de comandos con privilegios de root.
La vulnerabilidad es de tipo recorrido de ruta (CWE-23) y no requiere credenciales ni que el destinatario abra el archivo. La condición práctica es que el mensaje malicioso llegue a atravesar una pasarela afectada y que la política de correo lo someta a la función vulnerable. Por tanto, la exposición no depende de que la consola de administración esté publicada en Internet, sino del flujo de correo y de la configuración del análisis de adjuntos.
Dos comprobaciones determinan si una pasarela está afectada
Cisco indica que deben cumplirse ambas condiciones: que el servicio File Reputation esté habilitado y asignado a una política de correo, y que Content Scanner Tools tenga una versión anterior a 25.3.0.5525. La función forma parte de AMP. Para revisar la configuración, el fabricante señala las políticas de entrada y salida, en el apartado Advanced Malware Protection; desde la línea de comandos, contentscannerstatus permite consultar la versión del escáner.
El aviso afecta a Cisco Secure Email Gateway físico y virtual cuando ejecutan una versión vulnerable de AsyncOS y se da esa combinación. Cisco afirma que Secure Email and Web Manager y Secure Web Appliance no están afectados por este CVE. Los clientes de Cisco Secure Email Cloud tampoco tienen que aplicar manualmente la actualización: Cisco indica que ya distribuyó una versión corregida de Content Scanner Tools en ese entorno.
La corrección puede instalarse sin reiniciar el equipo
No hay una medida temporal que neutralice el fallo. Cisco recomienda actualizar a una versión corregida y precisa que la solución también se distribuye como una actualización de Content Scanner Tools. La versión 25.3.0.5525 o posterior incluye la corrección y, según el fabricante, puede instalarse sin actualizar AsyncOS ni reiniciar la pasarela.
| Versión de AsyncOS | Corrección indicada por Cisco |
|---|---|
| 15.5 | 15.5.5-014 o Content Scanner Tools 25.3.0.5525 o posterior |
| 16.0 | Migrar a una versión corregida |
| 16.5 | 16.5.0-780 o Content Scanner Tools 25.3.0.5525 o posterior |
Quienes tengan activadas las actualizaciones automáticas no necesitan intervenir una vez aplicado el paquete corregido. Si están desactivadas, Cisco indica que los administradores pueden solicitar la actualización desde la CLI con contentscannerupdate y después confirmar la versión mediante contentscannerstatus. Conviene comprobar el resultado en cada nodo, sobre todo si las pasarelas forman un clúster.
Qué revisar si hay indicios de intrusión
La actualización corrige la vulnerabilidad, pero no demuestra que un dispositivo que ya estaba expuesto permanezca limpio. Cisco propone revisar system_logs en busca de mensajes de seguridad relacionados con un compromiso o con un análisis incompleto. La ausencia de una alerta en esos registros no debe interpretarse como prueba definitiva: un atacante con privilegios de root puede borrar u ocultar rastros.
Por eso, el fabricante recomienda contrastar también los registros de red y del cortafuegos externos, buscando conexiones inesperadas desde la pasarela, cargas de archivos hacia direcciones externas o descargas desde infraestructura sospechosa. En equipos virtuales donde se sospeche una intrusión, aconseja preservar primero la información forense, desplegar una nueva instancia con software corregido y reconstruir la configuración sin reutilizar archivos antiguos. También recomienda renovar credenciales y material criptográfico instalados en el dispositivo.
El riesgo puede extenderse a otros miembros de un clúster: una pasarela comprometida podría exponer claves SSH privadas usadas para la comunicación entre nodos. Cisco recomienda restaurar todos los miembros afectados del clúster si se confirma el compromiso; en dispositivos físicos, aconseja contactar con su equipo de soporte técnico.
Una vulnerabilidad crítica en una pieza central del correo
Una pasarela de seguridad procesa mensajes antes de que lleguen a los usuarios y suele estar integrada en un punto de confianza de la red corporativa. Si un adjunto puede convertir ese componente en una vía de ejecución como root, el incidente deja de ser un problema aislado del buzón: puede comprometer el propio servicio de correo, su configuración y, potencialmente, sistemas relacionados.
La prioridad es identificar si File Reputation está asignado a una política y confirmar la versión real de Content Scanner Tools, no limitarse a comprobar el número de AsyncOS. Después, hay que instalar la corrección y tratar cualquier indicador como posible incidente, no como una tarea rutinaria de parcheo. Bytecora ya informó de otra vulnerabilidad explotada en infraestructura perimetral, el fallo de PAN-OS que afecta a firewalls de Palo Alto; en ambos casos, la exposición concreta depende de la configuración, pero la explotación activa obliga a priorizar la comprobación.
