Cisco publicó una actualización de seguridad para corregir una vulnerabilidad de día cero explotada en dispositivos Secure Email Gateway (SEG), que puede permitir a atacantes remotos y no autenticados escribir archivos y ejecutar comandos con privilegios de root en el sistema operativo subyacente.
La vulnerabilidad, identificada como CVE-2026-76519, se debe a una debilidad de recorrido de rutas relativas en la función Advanced Malware Protection (AMP), como consecuencia de un manejo incorrecto de los archivos adjuntos de correo electrónico. Según la descripción de Cisco, basta con enviar un mensaje que contenga un archivo adjunto especialmente diseñado a través de un dispositivo sin actualizar para explotar el fallo.
¿Qué instancias están afectadas por la vulnerabilidad?
Las instancias de SEG se ven afectadas cuando el servicio File Reputation está habilitado y asignado a una política de correo, y cuando la versión de Content Scanner Tools es anterior a 25.3.0.5525. Los administradores pueden comprobar la versión mediante el comando contentscannerstatus a través de la interfaz CLI y, posteriormente, revisar la opción Enable File Reputation dentro de las políticas de correo entrante o saliente, en la sección Advanced Malware Protection.
Explotación activa e indicadores de compromiso
Cisco afirmó que su equipo de respuesta a incidentes PSIRT tuvo conocimiento en octubre de 2026 de la explotación activa de la vulnerabilidad, pero no publicó detalles adicionales sobre los ataques ni sobre las entidades responsables. En su lugar, la empresa proporcionó indicadores de compromiso relacionados con los mensajes del sistema, que incluyen la sospecha de haber encontrado un indicador de compromiso, la falta de finalización del análisis de seguridad o la ausencia de un indicador.
En los casos en que aparezcan indicios de compromiso o el análisis falle, Cisco recomienda ponerse en contacto con el Centro de Asistencia Técnica TAC. La aparición de un mensaje que indique que no se encontraron indicadores de compromiso no elimina la necesidad de actualizar a una versión estable cuando esté disponible.
¿Qué deben hacer los administradores de sistemas?
Cisco advirtió que un atacante que obtenga ejecución de comandos con privilegios de root podría eliminar las huellas de la explotación. Por ello, recomendó revisar los registros de los cortafuegos y las redes en busca de descargas, cargas y comunicaciones con direcciones IP externas o sospechosas. También pidió a los clientes con los que la empresa se haya puesto en contacto que devuelvan el dispositivo a una configuración segura, renueven las credenciales y el material criptográfico instalado en el dispositivo cuando sea posible, restrinjan el acceso al dispositivo y apliquen mecanismos sólidos de control de acceso.
¿Por qué es importante esta noticia?
La gravedad de la vulnerabilidad reside en la combinación de tres elementos: no requiere autenticación, puede explotarse mediante un archivo adjunto de correo electrónico y proporciona privilegios de root. Además, forma parte de una serie de vulnerabilidades explotadas que han afectado a los productos de seguridad de correo de Cisco, lo que convierte la comprobación de las versiones y el análisis de los registros en medidas urgentes, no en una simple actualización rutinaria.
Shadowserver supervisa cerca de 300 instancias de Cisco Secure Email Gateway expuestas en Internet, sin que haya información disponible que determine cuántos dispositivos son honeypots o cuántos ya han sido protegidos. Cisco ya había corregido en julio de 2024 otra vulnerabilidad en SEG, identificada como CVE-2024-20401, y posteriormente solucionó en enero una vulnerabilidad crítica de AsyncOS, identificada como CVE-2025-20393, que había sido explotada desde noviembre de 2025. El mes pasado, la empresa advirtió de otra vulnerabilidad de día cero en el análisis de correo, identificada como CVE-2026-76461, que también permite ejecutar comandos con privilegios de root.