Cisco ha corregido una vulnerabilidad crítica de día cero (CVE-2026-76519) en su Secure Email Gateway (SEG) que permitía a atacantes remotos ejecutar comandos con privilegios de root mediante adjuntos de correo maliciosos. La falla afecta a instancias con el servicio de reputación de archivos activado y versiones obsoletas de Content Scanner Tools. Cisco insta a los administradores a actualizar sus sistemas, revisar los logs en busca de actividad sospechosa y renovar credenciales en caso de compromiso.





Cisco ha parcheado otro fallo de día cero explotado activamente en su Secure Email Gateway (SEG) que permite a atacantes remotos no autenticados ejecutar comandos con privilegios de root.

Identificada como CVE-2026-76519, esta vulnerabilidad se deriva de una debilidad de salto de ruta relativa en la función de Protección Avanzada contra Malware (AMP) de SEG, causada por un manejo inadecuado de los archivos adjuntos de correo electrónico. Los actores de amenazas pueden explotar este problema enviando un correo electrónico con un archivo adjunto maliciosamente diseñado a través de un dispositivo no parcheado.

"Un exploit exitoso podría permitir al atacante escribir archivos arbitrarios y ejecutar comandos con privilegios de root en el sistema operativo subyacente", afirmó Cisco en un aviso del miércoles [enlace] . "En octubre de 2026, el PSIRT de Cisco tuvo conocimiento de la explotación activa de esta vulnerabilidad".

La CVE-2026-76519 afecta a las instancias de SEG donde el servicio de Reputación de Archivos está habilitado y asignado a una política de correo, y la versión de Content Scanner Tools es anterior a la 25.3.0.5525.

Para determinar si un dispositivo específico es vulnerable, los administradores deben utilizar el comando CLI contentscannerstatus para verificar qué versión de Content Scanner Tools se está ejecutando e inspeccionar la casilla "Enable File Reputation" bajo Mail Policies > Incoming Mail Policies > Advanced Malware Protection o Mail Policies > Outgoing Mail Policies > Advanced Malware Protection en la interfaz de gestión basada en web.

Aunque la empresa no compartió más detalles sobre los ataques que explotan el fallo CVE-2026-76519, compartió los indicadores de compromiso (IOC) en la tabla incluida a continuación.

Mensaje de registro Acción recomendada Seguridad del sistema: Se encontró un indicador de compromiso sospechoso. Contacte con el TAC para obtener más recomendaciones. Compromiso detectado. Siga las instrucciones de la sección de Recomendaciones [enlace] de este Aviso de Seguridad Seguridad del sistema: El escaneo de seguridad no se completó. Contacte con el TAC para obtener más recomendaciones. Contacte con el Centro de Asistencia Técnica de Cisco (TAC) para obtener más soporte. Seguridad del sistema: No se encontró ningún indicador de compromiso. No se detectó compromiso. Actualice a una versión de software corregida si corresponde.

Cisco también advirtió a los clientes que verifiquen los registros del firewall y de la red en busca de signos de actividad sospechosa (incluidas descargas y cargas desde y hacia direcciones IP externas o sospechosas), ya que los atacantes pueden eliminar la evidencia de la explotación después de obtener la ejecución de comandos a nivel de root en los sistemas vulnerables.

La compañía añadió que ya ha implementado mitigaciones en las instancias en la nube y ha contactado a los propietarios de dispositivos Cisco Secure Email Cloud donde encontró evidencia de un posible compromiso.

"Cisco recomienda encarecidamente que los clientes que hayan sido contactados restauren el dispositivo a una configuración segura renovando las credenciales y cualquier material criptográfico instalado en el dispositivo, cuando sea posible. Además, Cisco recomienda encarecidamente restringir el acceso al dispositivo e implementar mecanismos robustos de control de acceso", señaló.

El observador de seguridad de Internet Shadowserver rastrea casi 300 instancias de Cisco Secure Email Gateway expuestas en línea, pero no proporciona información sobre cuántas son honeypots o ya han sido aseguradas.

Cisco abordó otra vulnerabilidad crítica de SEG (CVE-2024-20401) en julio de 2024 que permitía a los atacantes añadir nuevos usuarios con privilegios de root o provocar la caída permanente de los dispositivos mediante correos electrónicos con archivos adjuntos maliciosos.

En enero, la empresa parcheó un fallo de Cisco AsyncOS de severidad máxima (CVE-2025-20393) que los atacantes han explotado en ataques de día cero dirigidos a dispositivos SEG y Secure Email and Web Manager (SEWM) desde noviembre de 2025.

Más recientemente, el mes pasado, Cisco advirtió a los clientes que parchearan un nuevo día cero de SEG explotado activamente (CVE-2026-76461) en el análisis de correo electrónico del software Cisco AsyncOS que también permite a atacantes remotos no autenticados ejecutar comandos arbitrarios con privilegios de root en el SO subyacente.

Desde noviembre de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha añadido 100 vulnerabilidades de Cisco a su catálogo de fallos explotados activamente, siete de los cuales han sido abusados en ataques de ransomware.

Fuente:
BleepingComputer