CISA confirma la explotación activa del fallo crítico de Cisco Secure Email Gateway corregido hoy
CISA ha incorporado a su catálogo KEV la vulnerabilidad CVE-2026-76519 (CVSS 9.8) de Cisco Secure Email Gateway, lo que confirma que ya se está explotando. Afecta a las organizaciones que tienen activado el servicio File Reputation de AMP. Deben actualizar y revisar sus equipos de inmediato.
Qué ha pasado
Esta noticia continúa la que publicamos hoy mismo, 14 de octubre de 2026, sobre la vulnerabilidad crítica CVE-2026-76519 en Cisco Secure Email Gateway. Pocas horas después del aviso de Cisco, la agencia estadounidense CISA la ha añadido a su catálogo KEV de vulnerabilidades explotadas, así que hay explotación activa confirmada. Ya no es un riesgo teórico: hay atacantes aprovechando el fallo.
Como recordatorio, el fallo (CVSS 9.8) está en la función Advanced Malware Protection (AMP). Permite a un atacante remoto, sin credenciales, escribir archivos y ejecutar comandos con privilegios de root con solo hacer pasar por el equipo un correo con un adjunto manipulado. Los datos proceden del aviso de Cisco; NVD todavía no ha publicado la CVE.
Estado de la explotación
CISA ha dado a las agencias federales de EE. UU. de plazo hasta el 17 de octubre de 2026 para corregir el fallo: apenas tres días, lo que da idea de su gravedad. Por ahora no consta si se está utilizando en campañas de ransomware.
Según el aviso de Cisco, la compañía ha contactado directamente con los clientes de Cisco Secure Email Cloud en cuyos equipos ha detectado actividad maliciosa. Cisco advierte además de que un atacante con acceso root puede borrar u ocultar las huellas de la intrusión, por lo que la revisión no debe limitarse al propio equipo.
A quién afecta
Según Cisco, el fallo afecta a Cisco Secure Email Gateway, tanto físico como virtual, con una versión vulnerable de Cisco AsyncOS. Para que el equipo sea vulnerable deben cumplirse además estas dos condiciones:
- El servicio File Reputation, que forma parte de AMP, está activado y asignado a una política de correo.
- La versión de Content Scanner Tools es anterior a la 25.3.0.5525.
- No están afectados Secure Email and Web Manager ni Secure Web Appliance.
Qué hacer
La prioridad es parchear con urgencia: Cisco indica que no existen medidas alternativas que mitiguen el fallo. Después hay que comprobar si el equipo ha sido atacado.
- Actualizar AsyncOS: en la rama 15.5, la primera versión corregida es la 15.5.5-014. Para la rama 16.0 y las demás, consulte la tabla de versiones corregidas del aviso de Cisco.
- Comprobar la versión de Content Scanner Tools con el comando contentscannerstatus en la consola (CLI).
- Buscar indicios de compromiso con el comando grep "System Security" system_logs, en cada equipo si forma parte de un clúster.
- Si aparece el mensaje "Suspected compromise indicator was found", seguir las recomendaciones del aviso y contactar con el soporte técnico de Cisco (TAC). Si el escaneo no se completó, contactar también con el TAC.
- Revisar los registros de red y del cortafuegos externos al equipo en busca de envíos inesperados a direcciones IP externas o descargas desde IP maliciosas.
- Clientes de Cisco Secure Email Cloud sin acceso a la consola: revisar si Cisco les ha contactado y consultar con el fabricante.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-76519 | Crítica (9.8) | ⚠ Explotación activa | 14/10/2026 | En análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.