CVE-2026-76461: se explota una inyección SQL en Cisco Secure Email Gateway: actualización y comprobación de compromiso

Cisco publicó el 14 de septiembre de 2026 el aviso cisco-sa-esa-inj-2bLVGmhX sobre una vulnerabilidad crítica en AsyncOS para Cisco Secure Email Gateway. Un correo electrónico preparado que procesa el gateway contiene instrucciones SQL que se ejecutan debido a una validación insuficiente en la lógica de procesamiento; esto permite ejecutar comandos arbitrarios con privilegios de root en el sistema operativo subyacente. No es necesario autenticarse. La vulnerabilidad tiene el identificador CVE-2026-76461 y una puntuación CVSS de 9.8. Cisco tuvo conocimiento de la explotación activa en septiembre de 2026; la agencia estadounidense CISA añadió la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 14 de septiembre de 2026. Hay actualizaciones disponibles, pero según Cisco no existe ninguna solución alternativa.

Lo más importante en breve

Versiones afectadas y actualizaciones

Cisco recomienda expresamente migrar los sistemas con una versión anterior a 16.5 a la versión 16.5.0-780. Según Cisco, para los clientes de Cisco Secure Email Cloud ya se han actualizado todos los dispositivos a 16.5.0-780.

La CLI muestra la versión instalada con:

version

Lo que se sabe sobre la explotación

Cisco indica en el aviso que Cisco PSIRT tuvo conocimiento de la explotación activa en septiembre de 2026. La vulnerabilidad se descubrió mientras se gestionaba un caso de soporte en Cisco TAC. Los clientes de Secure Email Cloud en cuyos dispositivos Cisco detectó actividad maliciosa fueron contactados directamente.

Ni Cisco ni CISA proporcionan información sobre el atacante, el número de organizaciones afectadas ni el inicio exacto de los ataques (a fecha de 6 de octubre de 2026). CISA indica como desconocido en la entrada KEV si la vulnerabilidad se utiliza en campañas de ransomware. El plazo de tres días entre la incorporación al catálogo KEV y la implementación es breve; CISA exige expresamente a los organismos federales de EE. UU., además de las medidas del fabricante, un triaje forense.

La vía de ataque es el flujo normal de correo: el mensaje preparado solo debe pasar por el gateway. Por lo tanto, bloquear el acceso a la interfaz de administración desde Internet no impide la explotación.

Medidas inmediatas

1. Determinar la versión con version en la CLI y compararla con la tabla anterior. En clústeres, esto se aplica a cada miembro.

2. Comprobar si existe compromiso antes de actualizar (véase la sección siguiente) y guardar los registros. Si hay sospechas, se aplican las recomendaciones de Cisco para la reconstrucción, no solo la actualización.

3. Instalar la actualización: si no hay indicios de explotación, Cisco recomienda actualizar a una versión corregida; para sistemas anteriores a 16.5, migrar a 16.5.0-780.

4. Reducir la exposición: Cisco menciona en el aviso medidas generales de refuerzo, entre ellas restringir el acceso desde Internet, colocar las funciones de correo y administración en interfaces separadas, operar el appliance detrás de un firewall, desactivar HTTP para la interfaz de administración y desactivar los servicios innecesarios. Estas medidas reducen la superficie de ataque, pero no cierran la vulnerabilidad en el flujo de correo.

5. Supervisar el aviso: Cisco complementa el aviso cuando hay nuevos hallazgos, por última vez el 17 de septiembre de 2026 con una nota sobre los clústeres.

Comprobación de compromiso

Cisco recomienda comprobar los registros de correo (nombre predeterminado mail_logs) en busca de instrucciones SQL sospechosas y proporciona como ejemplo no exhaustivo:

grep -i "COPY.*TO PROGRAM" mail_logs

Si el dispositivo forma parte de un clúster, según Cisco deben comprobarse los registros de cada miembro del clúster. Un resultado de búsqueda vacío no demuestra que el sistema esté limpio: un atacante con privilegios de root puede eliminar rastros del dispositivo. Por ello, Cisco recomienda contrastar los registros de red y firewall externos al dispositivo, especialmente en busca de cargas inesperadas desde el gateway a direcciones IP externas y descargas desde direcciones IP maliciosas. Cisco no indica en el aviso direcciones IP, nombres de archivo ni valores hash concretos.

Una actualización no elimina los cambios ya realizados por un atacante. En caso de sospecha, Cisco recomienda según el despliegue:

1. Appliances virtuales: conservar la información forense de acuerdo con las propias directrices de incidentes, desplegar una nueva máquina virtual con una versión corregida, reconstruir la configuración, renovar las credenciales y todos los materiales criptográficos instalados en el appliance y seguir supervisando el sistema en busca de anomalías. Si no es posible la recuperación, Cisco recomienda contactar con Cisco TAC.

2. Appliances físicos: en caso de sospecha, contactar con Cisco TAC.

3. Clústeres: los miembros del clúster se autentican entre sí mediante pares de claves SSH. En un appliance comprometido pueden leerse las claves privadas, lo que puede permitir acceder a otros miembros del clúster. Cisco recomienda restaurar a una configuración segura cada miembro de un clúster con al menos un appliance comprometido.

4. Secure Email Cloud: los clientes contactados deben renovar las credenciales y los materiales criptográficos.

Contexto

Se ven afectadas las organizaciones que operan Cisco Secure Email Gateway como gateway de correo delante de su servidor de correo, independientemente de su configuración. Puesto que el ataque se produce a través del flujo de correo entrante y Cisco considera afectadas todas las configuraciones, cualquier instalación que acepte correos electrónicos desde el exterior es vulnerable. El gateway procesa todos los mensajes de una organización y almacena credenciales y material de claves; la ejecución de comandos como root da a un atacante acceso a ambos.

AsyncOS ya había sido objetivo anteriormente: según BleepingComputer, la vulnerabilidad de AsyncOS CVE-2025-20393 se explotaba desde noviembre de 2025 y se corrigió en enero. En Europa, entre otros, la BSI alemana (alerta de ciberseguridad del 14 de septiembre de 2026) y CERT-FR (aviso del 15 de septiembre de 2026) advirtieron sobre CVE-2026-76461.