Cisco ha publicado un parche de emergencia para una vulnerabilidad de día cero que está siendo explotada activamente en su Secure Email Gateway (SEG). El fallo, identificado como CVE-2026-76519, permite a un atacante remoto no autenticado escribir archivos arbitrarios y ejecutar comandos con privilegios de root en el sistema operativo subyacente. La compañía ha confirmado que tuvo conocimiento de la explotación activa en octubre de 2026.
La vulnerabilidad: path traversal en el motor antimalware
El origen del fallo es una vulnerabilidad de path traversal relativo en la función Advanced Malware Protection (AMP) del SEG, provocada por un manejo inadecuado de los archivos adjuntos de correo electrónico. Un atacante puede explotarla enviando un correo con un adjunto maliciosamente diseñado a través de un dispositivo no parcheado.
Según el aviso de Cisco, “un exploit exitoso podría permitir al atacante escribir archivos arbitrarios y ejecutar comandos con privilegios de root en el sistema operativo subyacente”. La vulnerabilidad afecta a las instancias del SEG donde el servicio de reputación de archivos (File Reputation) está habilitado y asignado a una política de correo, y la versión de Content Scanner Tools es anterior a la 25.3.0.5525.
¿Cómo verificar si tu dispositivo es vulnerable?
Cisco ha proporcionado instrucciones concretas para que los administradores determinen si sus dispositivos están expuestos. El primer paso es ejecutar el comando contentscannerstatus en la CLI para comprobar la versión de Content Scanner Tools. El segundo es verificar en la interfaz de gestión web que la casilla “Enable File Reputation” esté marcada, tanto en Mail Policies > Incoming Mail Policies > Advanced Malware Protection como en Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.
Indicadores de compromiso
Aunque Cisco no ha compartido detalles específicos sobre los ataques que explotan esta vulnerabilidad, sí ha publicado una tabla de indicadores de compromiso (IOC) basados en los mensajes de los registros del sistema:
| Mensaje de registro | Acción recomendada |
|---|---|
| “System Security: Suspected compromise indicator was found” | Compromiso detectado. Seguir las instrucciones de la sección de recomendaciones del aviso. |
| “System Security: Security scan did not complete” | Contactar con el Cisco Technical Assistance Center (TAC) para obtener soporte adicional. |
| “System Security: No compromise indicator was found” | No se ha detectado compromiso. Actualizar a una versión de software corregida si es aplicable. |
La compañía también ha advertido a los clientes que revisen los registros de firewall y de red en busca de actividad sospechosa, incluyendo descargas y subidas a direcciones IP externas o sospechosas. Los atacantes podrían haber eliminado evidencias de la explotación tras obtener ejecución de comandos con privilegios de root.
Cisco ha confirmado que ya ha desplegado mitigaciones en instancias cloud y ha contactado con los propietarios de dispositivos Cisco Secure Email Cloud donde se encontraron evidencias de un posible compromiso.
El contexto: una cadena de vulnerabilidades en SEG
Esta no es la primera vez que Cisco corrige una vulnerabilidad crítica en su Secure Email Gateway. En julio de 2024, la compañía parcheó CVE-2024-20401, un fallo crítico que permitía a los atacantes añadir nuevos usuarios con privilegios de root o bloquear permanentemente los dispositivos mediante correos con adjuntos maliciosos.
En enero de 2026, Cisco corrigió CVE-2025-20393, una vulnerabilidad de máxima severidad en Cisco AsyncOS que había sido explotada en ataques de día cero contra dispositivos SEG y Secure Email and Web Manager (SEWM) desde noviembre de 2025.
Más recientemente, el mes pasado, la compañía advirtió sobre CVE-2026-76461, otra vulnerabilidad de día cero explotada activamente en el análisis de correo de Cisco AsyncOS, que también permitía a atacantes remotos no autenticados ejecutar comandos arbitrarios con privilegios de root.
Desde noviembre de 2021, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha añadido 100 vulnerabilidades de Cisco a su catálogo de fallos explotados activamente, siete de las cuales han sido utilizadas en ataques de ransomware.
El Shadowserver Foundation, un organismo de vigilancia de seguridad en internet, rastrea cerca de 300 instancias de Cisco Secure Email Gateway expuestas online, aunque no proporciona información sobre cuántas son honeypots o ya han sido aseguradas.
Recomendaciones: parchear, revisar y rotar credenciales
Cisco insta a los clientes a aplicar el parche de inmediato. Para aquellos que no puedan hacerlo, la compañía recomienda restringir el acceso al dispositivo e implementar mecanismos robustos de control de acceso.
A los clientes que hayan sido contactados por Cisco por evidencia de compromiso, la compañía les recomienda restaurar el dispositivo a una configuración segura, renovando credenciales y cualquier material criptográfico instalado en el appliance. También es fundamental revisar los registros de red y del dispositivo en busca de los indicadores de compromiso publicados y auditar cualquier actividad sospechosa que pueda indicar que un atacante ha obtenido acceso root.
La explotación activa de esta vulnerabilidad subraya la importancia de mantener los sistemas de seguridad perimetral actualizados. Los atacantes están aprovechando fallos en los gateways de correo (la primera línea de defensa contra el phishing y el malware) para obtener acceso a las redes corporativas con los máximos privilegios.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
