Cisco corrige una vulnerabilidad crítica en Secure Email Gateway que permite tomar el control del equipo con un simple correo

Qué ha pasado

Cisco publicó el 14 de octubre de 2026 el aviso cisco-sa-esa-afw-zqYJkjxp, que describe la vulnerabilidad CVE-2026-76519, calificada como crítica con una puntuación CVSS 9.8. Los datos proceden del aviso del fabricante; NVD todavía no ha publicado la ficha de esta CVE.

Según el aviso de Cisco, el fallo reside en la función Advanced Malware Protection (AMP). Se debe a una gestión incorrecta de los adjuntos de correo cuando está activado el servicio de reputación de archivos (CWE-23, recorrido de rutas). Al atacante le basta con hacer pasar por el equipo un correo con un adjunto especialmente preparado, sin credenciales ni intervención de ningún usuario. Si lo consigue, puede escribir archivos arbitrarios y ejecutar comandos con privilegios de root en el sistema operativo subyacente, es decir, hacerse con el control total de la pasarela de correo.

A quién afecta

Afecta a Cisco Secure Email Gateway, tanto físico como virtual, que ejecute una versión vulnerable de Cisco AsyncOS Software y cumpla a la vez estas dos condiciones:

Cisco confirma que no están afectados Secure Email and Web Manager ni Secure Web Appliance. Para saber si File Reputation está activo, hay que revisar en la interfaz web Mail Policies > Incoming Mail Policies (u Outgoing Mail Policies) > Advanced Malware Protection. La versión de Content Scanner Tools se consulta con el comando contentscannerstatus en la CLI.

• El servicio File Reputation, parte de Cisco AMP, está habilitado y asignado a una política de correo.
• La versión de Content Scanner Tools es anterior a la 25.3.0.5525.

Estado de la explotación

La CVE no figura en el catálogo KEV de CISA y no se conoce ningún exploit público. Aun así, el aviso de Cisco incluye indicadores de compromiso y señala que la compañía ha contactado directamente con los clientes de Cisco Secure Email Cloud en cuyos dispositivos se ha detectado actividad maliciosa, por lo que conviene tratar el fallo como prioritario.

Cisco advierte además de que, con acceso root, un atacante puede borrar u ocultar las pruebas de la intrusión, de modo que la ausencia de indicios en el propio equipo no garantiza que no haya sido comprometido.

Qué hacer

No existen soluciones alternativas: la única corrección es actualizar. Cisco considera cualquier mitigación una medida temporal y recomienda encarecidamente pasar a una versión corregida.

• Actualizar Cisco AsyncOS Software: en la rama 15.5, la primera versión corregida es la 15.5.5-014. Para la rama 16.0, el texto del aviso que hemos recibido está incompleto (apunta a una migración); consulte la tabla actualizada en el aviso de Cisco.
• Comprobar si File Reputation está activo y qué versión de Content Scanner Tools se ejecuta, para priorizar los equipos expuestos.
• Buscar indicios de compromiso con el comando grep "System Security" system_logs en cada equipo, incluidos todos los miembros de un clúster, y contactar con el TAC de Cisco si aparece un indicador de compromiso o el análisis no se completa.
• Revisar los registros de red y del cortafuegos, fuera del equipo afectado, en busca de subidas inesperadas hacia direcciones IP externas o descargas desde direcciones maliciosas.
• Si utiliza Cisco Secure Email Cloud y no tiene acceso a la CLI, confirme con Cisco el estado de su servicio, ya que quizá no pueda revisar los indicadores por su cuenta.

Tecnologías afectadas

Vulnerabilidades (1)