Cisco alertó sobre una vulnerabilidad crítica (CVE-2026-76461) en Cisco Secure Email Gateway que permite a atacantes ejecutar comandos con privilegios de root mediante correos maliciosos. El fallo ya está siendo explotado activamente y la única solución es actualizar el software AsyncOS a las versiones más recientes. Paralelamente, se reportaron ataques masivos de robo de credenciales dirigidos a dispositivos VPN de Fortinet.

Cisco ha advertido que una nueva vulnerabilidad crítica que afecta al software AsyncOS para Cisco Secure Email Gateway está siendo explotada activamente.

La vulnerabilidad, identificada como CVE-2026-76461, tiene una puntuación CVSS de 9.8 sobre un máximo de 10.0. Se ha descrito como un caso de validación insuficiente en la lógica de análisis de correo electrónico que podría permitir a un atacante remoto no autenticado ejecutar comandos arbitrarios con privilegios de root en el sistema operativo subyacente.

"Un atacante podría explotar esta vulnerabilidad enviando un mensaje de correo electrónico manipulado que contenga sentencias SQL maliciosas a través de un dispositivo afectado", afirmó Cisco en un aviso del lunes. "Una explotación exitosa podría permitir al atacante ejecutar sentencias SQL arbitrarias, lo que llevaría a la ejecución de comandos con privilegios de root en el sistema operativo".

Este fallo afecta a Cisco Secure Email Gateway, tanto físico como virtual, independientemente de la configuración del dispositivo. Sin embargo, el fabricante de equipos de red señaló que otros productos como Secure Email and Web Manager y Secure Web Appliance no están afectados.

Están disponibles correcciones para las siguientes versiones de Cisco AsyncOS para el software Cisco Secure Email Gateway -

* 15.5 y anteriores (Corregido en 15.5.5-0141)
* 16.0 (Corregido en 16.0.4-302)
* 16.5 (Corregido en 16.5.0-780)

No existen soluciones alternativas más allá de actualizar a la última versión compatible. Cisco dijo que tuvo conocimiento de la explotación activa de esta vulnerabilidad este mes, compartiendo los siguientes indicadores de compromiso (IoCs) -

* Revisa los registros de correo (mail_logs) y busca sentencias SQL sospechosas.
* Si el dispositivo es parte de un clúster, revisa los registros de cada dispositivo del clúster.
* Para detectar sentencias SQL potencialmente maliciosas, se recomienda ejecutar el comando: cisco-esa> grep -i "COPY.*TO PROGRAM" [Nombre del registro IronPort Text Mail Logs - Predeterminado: mail_logs]
* La presencia de cualquier entrada en la salida puede indicar actividad maliciosa.

Cisco también mencionó que ha contactado directamente a los clientes que poseen dispositivos Cisco Secure Email Cloud en los que se detectó actividad maliciosa. No reveló la escala de los ataques.

"Tras la explotación exitosa de esta vulnerabilidad, los actores de amenazas pueden obtener la ejecución de comandos con privilegios de root", advirtió la empresa. "Debido a este nivel de acceso, la evidencia de la explotación y los indicadores de compromiso pueden ser eliminados u ocultados por los atacantes".

Como resultado, se recomienda a los administradores contrastar los registros de red y los registros del firewall fuera del dispositivo afectado para identificar cualquier actividad anómala potencial, incluyendo cargas inesperadas iniciadas desde el dispositivo afectado hacia direcciones IP externas o descargas desde direcciones IP maliciosas.

Este acontecimiento ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a añadir la CVE-2026-76461 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo que las agencias de la Rama Ejecutiva Civil Federal (FCEB) apliquen los parches antes del 17 de septiembre de 2026.

Ataques de credenciales a gran escala contra VPN de Fortinet

La revelación se produce días después de que Arctic Wolf dijera que detectó ataques de credenciales a gran escala dirigidos a dispositivos VPN de Fortinet expuestos a internet a finales de agosto de 2026. La actividad de alto volumen tuvo lugar en dos oleadas sostenidas en múltiples entornos de clientes en EE. UU. del 26 al 28 de agosto de 2026, generando decenas de millones de fallos de autenticación.

"El actor utilizó nombres de usuario específicos de la organización, direcciones de correo electrónico corporativas, cuentas de afiliados e identidades administrativas comunes, lo que indica el acceso a información de identidad recopilada o enumerada previamente", afirmó el investigador de seguridad Kyle Siddall en su análisis.

"Los nombres de usuario intentados incluyeron nombres de empleados, correos corporativos, identidades de afiliados y cuentas administrativas comunes asociadas con las organizaciones objetivo. Esta selección de identidad dirigida, en lugar de un rociado (spraying) de nombres de usuario genéricos, indica acceso a información de identidad previamente recopilada o enumerada".

En un caso observado, una autenticación exitosa de VPN de Fortinet originada desde la dirección IP "158.94.211[.]14" fue seguida por actividad maliciosa en el entorno afectado.

Fuente:
THN