Falla crítica en el filtro de correo de Cisco permite tomar el equipo con un adjunto y ya se explota

Cisco publicó el 14 de octubre el aviso de una falla crítica en Secure Email Gateway, el equipo que muchas empresas ponen delante de su correo para frenar spam y programas maliciosos. Basta con mandar un correo con un adjunto armado para escribir archivos en el equipo y ejecutar comandos con el máximo nivel de permisos. Cisco confirmó que en octubre detectó ataques que la aprovechan.

Qué es la falla

El problema está en Advanced Malware Protection (AMP), la función que revisa los adjuntos contra una base de reputación de archivos. Al procesar un adjunto preparado, el equipo lo maneja mal y el atacante puede escribir archivos donde quiera dentro del sistema, y desde ahí ejecutar comandos como root.

En términos técnicos, es un recorrido de rutas (CWE-23) registrado como CVE-2026-76519. No exige autenticación ni que nadie abra el correo: el equipo lo procesa solo al recibirlo.

A quién afecta

Afecta a Cisco Secure Email Gateway, físico y virtual, cuando se cumplen dos condiciones: la reputación de archivos (File Reputation) está activada y asignada a una política de correo, y la herramienta Content Scanner Tools es anterior a la versión 25.3.0.5525. No están afectados Secure Email and Web Manager ni Secure Web Appliance.

Para revisar la configuración, en la interfaz web hay que entrar a Mail Policies, Incoming (u Outgoing) Mail Policies, Advanced Malware Protection, y ver si está marcada la opción "Enable File Reputation". La versión de la herramienta se ve con el comando contentscannerstatus.

Estado de explotación

Explotada, según Cisco, que informó que su equipo de respuesta supo de ataques en octubre. La falla apareció en sus propios análisis internos. Todavía no figura en el catálogo de vulnerabilidades explotadas de CISA.

Antecedentes

Es la segunda falla crítica explotada en este equipo en un mes. En septiembre, Cisco corrigió CVE-2026-76461, una inyección SQLVulnerabilidad que permite a un atacante colar instrucciones propias en las consultas que una aplicación envía a su base de datos, para ver, cambiar o borrar información sin autorización. que también se activaba con un correo y que CISA sumó a su catálogo.

Qué hacer

• Actualizar Content Scanner Tools a 25.3.0.5525 o posterior: corrige la falla sin actualizar el sistema ni reiniciar.
• O actualizar AsyncOS: 15.5.5-014 en la rama 15.5, y 16.5.0-780 para la rama 16.5. La rama 16.0 y las anteriores a 16.5 tienen que migrar a una versión corregida.
• No hay medidas alternativas que eviten la falla.
• Buscar señales de ataque con grep "System Security" system_logs y comparar el resultado con la tabla de mensajes del aviso de Cisco.
• Limitar el acceso desde internet a la administración del equipo y desactivar HTTP y FTP, como recomienda Cisco en general.

Ficha técnica

• CVE: CVE-2026-76519
• CVSS: 9,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• CWE: CWE-23, recorrido de rutas relativas
• Producto: Cisco Secure Email Gateway (AsyncOS) con File Reputation activada
• Versiones corregidas: Content Scanner Tools 25.3.0.5525; AsyncOS 15.5.5-014 y 16.5.0-780
• Aviso del fabricante: cisco-sa-esa-afw-zqYJkjxp, 14 de octubre de 2026