Cisco Secure Email Gateway: parcheado el CVE-2026-76519
Cisco ha publicado correcciones para una vulnerabilidad de Secure Email Gateway (SEG) que los atacantes ya están explotando. El fallo permite a atacantes remotos ejecutar comandos con privilegios de root sin ningún tipo de autenticación.
El error se identifica como CVE-2026-76519. Es el último de una serie de fallos explotados que afectan a los dispositivos de seguridad de correo electrónico de la compañía.
Basta con un adjunto malicioso
La vulnerabilidad es un fallo de salto de directorio relativo (relative path traversal) en la función Advanced Malware Protection (AMP) de SEG. Se debe a la forma en que el dispositivo procesa los adjuntos de correo. Para explotarla, al atacante le basta con enviar un correo con un adjunto especialmente manipulado a través de un dispositivo sin parchear. No necesita iniciar sesión ni interactuar con el dispositivo de ninguna otra manera.
"Una explotación exitosa podría permitir al atacante escribir archivos arbitrarios y ejecutar comandos con privilegios de root en el sistema operativo subyacente", señaló Cisco en su aviso, publicado el miércoles.
La compañía también confirmó que el fallo se ha utilizado en ataques reales. "En octubre de 2026, el PSIRT de Cisco tuvo conocimiento de la explotación activa de esta vulnerabilidad", indica el aviso. El PSIRT es el equipo de respuesta a incidentes de seguridad de productos de Cisco, que gestiona los informes de vulnerabilidades y los avisos de seguridad.
Cisco no ha compartido detalles sobre los ataques, como quién está detrás o qué organizaciones han sido el objetivo. Sí ha publicado una serie de indicadores de compromiso (IOC) que los equipos de defensa pueden usar para buscar indicios de intrusión.
Qué dispositivos están afectados
No todos los dispositivos SEG están expuestos. Un dispositivo solo es vulnerable si se cumplen dos condiciones:
- el servicio File Reputation está activado y asignado a una política de correo
- la versión de Content Scanner Tools es anterior a la 25.3.0.5525
Los administradores pueden comprobar la versión instalada de Content Scanner Tools con el comando de la CLI contentscannerstatus. Para saber si File Reputation está activado, tienen que revisar la casilla "Enable File Reputation" en la interfaz de gestión web. Se encuentra en Mail Policies > Incoming Mail Policies > Advanced Malware Protection, o en Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.
Los atacantes pueden borrar su rastro
Cisco advirtió de que la ausencia de pruebas evidentes en un dispositivo no demuestra que esté limpio. Tras lograr la ejecución de comandos con nivel de root, los atacantes pueden eliminar los rastros de la explotación.
Por ese motivo, la compañía aconseja a los clientes revisar también los registros del cortafuegos y de la red. Los administradores deben buscar actividad sospechosa, incluidas descargas y subidas desde y hacia direcciones IP externas o sospechosas.
Cisco afirmó que ya ha desplegado medidas de mitigación en las instancias en la nube. También se ha puesto en contacto con los propietarios de dispositivos Cisco Secure Email Cloud en los que encontró indicios de un posible compromiso.
"Cisco recomienda encarecidamente a los clientes con los que se ha contactado que restauren el dispositivo a una configuración segura renovando las credenciales y cualquier material criptográfico instalado en el dispositivo, cuando sea posible. Además, Cisco recomienda encarecidamente restringir el acceso al dispositivo e implantar mecanismos de control de acceso robustos", indicó la compañía.
Según Shadowserver, una organización de vigilancia de la seguridad en internet que rastrea sistemas expuestos, casi 300 instancias de Cisco Secure Email Gateway son accesibles en línea. La organización no precisa cuántas de ellas son honeypots o ya se han protegido.
No es el primer día cero en SEG
Este dista mucho de ser el primer problema grave de los productos de seguridad de correo de Cisco.
En julio de 2024, Cisco corrigió un fallo crítico de SEG, el CVE-2024-20401. Los atacantes podían aprovecharlo para añadir nuevos usuarios con privilegios de root o para bloquear los dispositivos de forma permanente, también mediante el envío de correos con adjuntos maliciosos.
En enero, la compañía parcheó el CVE-2025-20393, un fallo de Cisco AsyncOS de gravedad máxima. Los atacantes lo venían explotando en ataques de día cero contra dispositivos SEG y Secure Email and Web Manager (SEWM) desde noviembre de 2025.
El mes pasado, Cisco instó a sus clientes a parchear otro día cero de SEG explotado, el CVE-2026-76461. Ese error se encuentra en el análisis de correos de Cisco AsyncOS Software. Al igual que el nuevo fallo, permite a atacantes remotos no autenticados ejecutar comandos arbitrarios con privilegios de root en el sistema operativo subyacente.
El historial general también es largo. Desde noviembre de 2021, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha añadido 100 vulnerabilidades de Cisco a su catálogo de fallos explotados activamente. Siete de ellas se han utilizado en ataques de ransomware.
Cisco lleva unas semanas ajetreadas. A principios de este mes, la compañía también corrigió fallos en NX-OS que podían permitir a los atacantes hacerse con el control de los switches Nexus.
Nuestra opinión
El detalle más preocupante es lo poco que tiene que hacer un atacante. Las pasarelas de correo existen para recibir mensajes de cualquiera en internet, así que la superficie de ataque no se puede cerrar sin más. Al atacante le basta con bloquear un único adjunto manipulado, y el error se encuentra dentro de una función de protección contra malware que, en teoría, debe hacer el dispositivo más seguro. Esto sugiere que las organizaciones que activaron File Reputation para reforzar sus defensas pueden haber ampliado su exposición sin saberlo.
El patrón también importa. Este es el segundo día cero de SEG explotado en aproximadamente un mes, y el tercero grave en lo que va de año si se incluye la corrección de AsyncOS de enero. Está claro que los atacantes consideran estos dispositivos objetivos que merecen la pena. Encaja con una tendencia más amplia de actores maliciosos que se centran en dispositivos de borde y de perímetro. Entre los ejemplos recientes figuran la cadena de días cero de Ivanti Connect Secure y el fallo explotado de SonicWall SMA1000. Estos sistemas suelen gozar de confianza, estar mal vigilados y ser difíciles de inspeccionar desde dentro.
La advertencia de Cisco de que los atacantes pueden borrar pruebas debe tomarse en serio. Aplicar la actualización no deshace un compromiso que ya se ha producido. Los equipos que gestionen dispositivos afectados deberían considerar la revisión de registros y la rotación de credenciales como parte del parcheo, no como extras opcionales.
Conviene estar atentos a si CISA añade el CVE-2026-76519 a su catálogo de vulnerabilidades explotadas. Los investigadores o la propia Cisco también podrían dar más detalles sobre quién está detrás de los ataques. Dado que siete fallos anteriores de Cisco acabaron en campañas de ransomware, los equipos de defensa no deberían dar por hecho que este se limitará a intrusiones dirigidas.