CVE-2026-76519: se explota Path Traversal en Cisco Secure Email Gateway: actualización y comprobación de compromiso

Cisco publicó el 14 de octubre de 2026 el aviso cisco-sa-esa-afw-zqYJkjxp sobre una vulnerabilidad crítica en la función Advanced Malware Protection (AMP) de Cisco Secure Email Gateway. Si el servicio File Reputation está activado, el gateway procesa incorrectamente los archivos adjuntos de correo electrónico: un atacante no autenticado puede, mediante un correo electrónico con un archivo adjunto manipulado, escribir archivos arbitrarios en el sistema operativo subyacente y ejecutar comandos con privilegios de root. La vulnerabilidad tiene el identificador CVE-2026-76519 y una puntuación CVSS de 9.8. Cisco tuvo conocimiento de su explotación activa en octubre de 2026; la agencia estadounidense CISA incorporó la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 14 de octubre de 2026. Se corrige con Content Scanner Tools a partir de la versión 25.3.0.5525 y en AsyncOS 15.5.5-014 y 16.5.0-780; según Cisco, no existe ninguna solución alternativa.

Lo más importante en resumen

Versiones afectadas y actualizaciones

Según Cisco, un dispositivo solo es vulnerable si se cumplen ambas condiciones: File Reputation está activado y asignado a una Mail Policy, y la versión instalada de Content Scanner Tools es anterior a 25.3.0.5525. Cisco distribuye la corrección mediante el paquete Content Scanner Tools para todas las versiones de AsyncOS con licencia y soporte; además, Cisco indica versiones corregidas de AsyncOS.

Para sistemas con una versión de AsyncOS anterior a 16.5, Cisco recomienda migrar a 16.5.0-780. Cisco ya había indicado las mismas versiones de AsyncOS como corregidas el 14 de septiembre de 2026 en el aviso de hardening cisco-sa-hardening-esa-dfCrfXkm; este aviso se complementó el 14 de octubre de 2026 con una referencia que indica que una vulnerabilidad de Path Traversal (CWE-23) tratada en él está siendo explotada activamente. Quienes ya actualizaron a 15.5.5-014 o 16.5.0-780 tras la vulnerabilidad CVE-2026-76461 en septiembre disponen, según Cisco, de una versión corregida. Según el aviso, los clientes de Cisco Secure Email Cloud Gateway no deben hacer nada, ya que Cisco ya ha distribuido allí las versiones corregidas de Content Scanner Tools.

La CLI muestra la versión instalada de AsyncOS con:

version

La versión de Content Scanner Tools se muestra con:

contentscannerstatus

Cisco cita Content Scanner Tools 25.2.0.5427.15.5.001 Never updated como ejemplo de una salida vulnerable. La interfaz web muestra si File Reputation está activo en Mail Policies > Incoming Mail Policies o Outgoing Mail Policies, dentro de Advanced Malware Protection: para cada política debe comprobarse si está activada la opción Enable File Reputation.

Lo que se sabe sobre la explotación

Cisco indica en el aviso que Cisco PSIRT tuvo conocimiento de la explotación activa en octubre de 2026. Según el aviso, la vulnerabilidad se descubrió durante una prueba de seguridad interna de Cisco. Los clientes de Secure Email Cloud en cuyos dispositivos Cisco detectó posibles indicadores de compromiso fueron contactados directamente; Cisco afirma que está trabajando en la corrección y recuperación en esos casos.

Ni Cisco ni CISA proporcionan información sobre el atacante, el número de organizaciones afectadas ni el inicio exacto de los ataques (a fecha de 15 de octubre de 2026). CISA indica como desconocido en la entrada KEV si la vulnerabilidad se utiliza en campañas de ransomware. CISA exige a las agencias federales de EE. UU. que, antes del 17 de octubre de 2026, apliquen las medidas del fabricante, realicen un triaje forense y evalúen la accesibilidad desde Internet; si no hay una solución disponible, el producto debe retirarse del servicio.

La vía de ataque es el flujo normal de correo: el correo electrónico con el archivo adjunto manipulado solo tiene que pasar por el gateway. Por ello, bloquear el acceso a la interfaz de administración desde Internet no impide la explotación.

Medidas inmediatas

1. Inventariar: determinar la versión de AsyncOS con version, la versión de Content Scanner con contentscannerstatus y el estado de File Reputation en todas las Mail Policies. En clústeres, esto se aplica a cada miembro.

2. Comprobar si hay indicios de compromiso antes de actualizar (véase la sección siguiente) y conservar los datos forenses. Cisco advierte que actualizar una instancia virtual comprometida puede destruir datos forenses y registros.

3. Actualizar Content Scanner Tools: la corrección está incluida a partir de la versión 25.3.0.5525; según Cisco, no es necesario reiniciar. La CLI inicia manualmente la actualización con:

   contentscannerupdate

   Las actualizaciones automáticas se pueden activar en la interfaz web, en Security Services > Service Updates, mediante Edit Update Settings; después debe aplicarse el cambio con Commit. A continuación, compruebe la versión con contentscannerstatus.

4. Actualizar AsyncOS: a 15.5.5-014 o 16.5.0-780; según Cisco, los sistemas con 16.0 y anteriores deben migrarse a 16.5.0-780.

5. Reducir la exposición: Cisco menciona en el aviso medidas generales de hardening, entre ellas impedir el acceso desde Internet, separar la administración y el tráfico de correo en interfaces distintas, desactivar servicios no necesarios como HTTP y FTP, utilizar autenticación fuerte (SAML o LDAP), cambiar las contraseñas predeterminadas y enviar los registros a un servidor externo. Estas medidas reducen la superficie de ataque, pero no cierran la vulnerabilidad en el flujo de correo. Cisco no menciona la desactivación de File Reputation como solución alternativa.

6. Seguir el aviso: Cisco complementa el aviso cuando hay nueva información; el historial de revisiones se encuentra al final del aviso.

Comprobación de compromiso

Cisco recomienda comprobar los registros del sistema en el dispositivo con el siguiente comando:

grep "System Security" system_logs

Cisco clasifica los posibles mensajes de la siguiente manera:

Si el dispositivo forma parte de un clúster, según Cisco deben comprobarse los registros de cada miembro del clúster. Un resultado sin coincidencias no demuestra que el sistema esté limpio: un atacante con privilegios de root puede eliminar u ocultar rastros en el dispositivo. Por ello, Cisco recomienda contrastar los registros de red y firewall externos al dispositivo, en particular buscando cargas sospechosas desde el gateway hacia direcciones IP externas y descargas desde direcciones IP externas. Cisco no proporciona direcciones IP, nombres de archivo ni valores hash concretos en el aviso.

Una actualización no elimina cambios ya realizados por un atacante. En caso de sospecha, Cisco recomienda según el tipo de despliegue:

1. Appliances físicas: contactar con Cisco TAC y mantener activado el acceso remoto en los dispositivos afectados para agilizar la investigación.

2. Appliances virtuales: primero conservar la información forense conforme a las propias directrices de incidentes, implementar una nueva máquina virtual con una versión corregida, reconstruir la configuración sin importar archivos de configuración anteriores, renovar las credenciales y todo el material criptográfico y continuar supervisando el sistema para detectar anomalías.

3. Clústeres: los miembros del clúster se autentican entre sí con pares de claves SSH. En una appliance comprometida pueden extraerse las claves privadas, lo que puede permitir acceder a otros miembros del clúster. Cisco recomienda restaurar cada miembro de un clúster que tenga al menos una appliance comprometida a una configuración segura.

4. Secure Email Cloud: según Cisco, los clientes contactados deben renovar sus credenciales y materiales criptográficos.

Contexto

Están afectadas las organizaciones que operan Cisco Secure Email Gateway con File Reputation activado como gateway de correo delante de su servidor de correo. Dado que el ataque se produce a través del flujo de correo entrante, toda instalación de este tipo que acepte correos electrónicos desde el exterior y siga utilizando versiones antiguas de Content Scanner Tools es vulnerable. El gateway procesa todos los mensajes de una organización y almacena credenciales y material de claves; la ejecución de comandos como root permite a un atacante acceder a ambos. Según BleepingComputer, Shadowserver registra cerca de 300 instancias de Cisco Secure Email Gateway accesibles desde Internet.

CVE-2026-76519 es la segunda vulnerabilidad explotada en Cisco Secure Email Gateway en un mes: en septiembre, CVE-2026-76461 afectó al procesamiento de correo electrónico de AsyncOS (CVE-2026-76461: Cisco Secure Email Gateway SQL-Injection). Según BleepingComputer, la vulnerabilidad de AsyncOS CVE-2025-20393 también fue explotada desde noviembre de 2025 y se corrigió en enero. El Canadian Cyber Centre advirtió el 14 de octubre de 2026 sobre CVE-2026-76519 mediante AV26-1042.