Cisco Secure Email Gateway: path traversal explotada, CVSS 9.8

📌 Novedades posteriores: Zero-day Cisco Secure Email Gateway: versiones corregidas e IoC (14 de octubre de 2026)

El 14 de octubre de 2026 la CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2026-76519, una vulnerabilidad de Cisco Secure Email Gateway en la función Advanced Malware Protection (AMP). Un atacante remoto y no autenticado puede escribir archivos arbitrarios en el sistema operativo del gateway y ejecutar comandos con privilegios de root enviando un correo con un adjunto manipulado. La gravedad es crítica: CVSS 3.1 9.8.

La inclusión en el catálogo KEV indica que la CISA tiene pruebas de explotación activa. Ese mismo día también el NCSC-NL, el centro nacional de ciberseguridad de los Países Bajos, publicó un aviso sobre la vulnerabilidad.

Qué ha pasado

La CISA incluyó la CVE-2026-76519 en el KEV con la descripción “Cisco Secure Email Gateway Relative Path Traversal Vulnerability” y fijó el 17 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días. En el catálogo, el uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la prioridad de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA. Para los servicios en la nube rigen las indicaciones de la misma directiva; si no hay mitigaciones disponibles, hay que dejar de usar el producto. El aviso pide también evaluar la exposición a Internet de cada sistema.

El aviso del NCSC-NL (NCSC-2026-0429) está clasificado como [H/H], es decir, probabilidad e impacto altos en la escala del organismo, y su título indica que la vulnerabilidad ha sido corregida. El texto completo del aviso neerlandés no estaba disponible en el momento de la redacción.

Ni la CISA ni la ficha del NVD ofrecen detalles sobre los ataques observados, sus autores o las víctimas.

Detalles técnicos

• CVE: CVE-2026-76519, publicada el 14 de octubre de 2026. La ficha del NVD está en estado “Undergoing Analysis”: el NIST aún no ha completado su evaluación.
• Producto: Cisco Secure Email Gateway, función Advanced Malware Protection (AMP). El aviso de Cisco tiene el identificador cisco-sa-esa-afw-zqYJkjxp y figura entre las referencias de la ficha del NVD.
• Condición: según la descripción, el problema se debe a una gestión incorrecta de los adjuntos de correo cuando el servicio de file reputation está activado.
• Mecanismo: el atacante envía a través del gateway un correo con un adjunto manipulado. Si la explotación tiene éxito, puede escribir archivos arbitrarios en el sistema operativo subyacente y ejecutar comandos con privilegios de root.
• Gravedad: CVSS 3.1 9.8 (crítica), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, puntuación proporcionada por Cisco. El vector indica un ataque por red, de baja complejidad, sin privilegios y sin interacción del usuario: nadie tiene que abrir el adjunto, porque lo procesa el propio gateway.
• Debilidad: CWE-23 (Relative Path Traversal), es decir, el uso de secuencias de ruta relativas para escribir fuera de la carpeta prevista.
• Versiones: las fuentes disponibles no indican las versiones afectadas ni las corregidas. La referencia es el aviso de Cisco.
• Indicadores de compromiso: ninguno publicado en las fuentes.
• MITRE ATT&CK: en un gateway que recibe correo desde Internet, la explotación corresponde a la técnica T1190, Exploit Public-Facing Application.

Impacto para las empresas europeas e italianas

El gateway de correo es el primer sistema que recibe los correos dirigidos a la empresa y, por definición, es accesible desde Internet. Según la descripción, al atacante le basta con hacer pasar por el gateway un correo con el adjunto manipulado: no necesita credenciales ni un error de un empleado. Un compromiso con privilegios de root justo en el punto por el que pasa el correo entrante debe verificarse con prioridad, además de actualizar.

La función afectada, el análisis de adjuntos con file reputation, es precisamente la que se activa para protegerse del malware por correo: las empresas que la tienen activada son las que cumplen la condición descrita.

Para las entidades sujetas a NIS2, la vulnerabilidad entra en la gestión de vulnerabilidades con prioridades y plazos documentados; si el gateway lo gestiona un proveedor, la verificación debe hacerse con él. Un incidente significativo debe notificarse al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Si el compromiso afecta a correos con datos personales, también debe evaluarse como brecha según el RGPD, con la posible notificación a la autoridad de control en un plazo de 72 horas. En el sector sanitario, donde el correo transporta a menudo informes y datos de salud, la verificación debe hacerse sin esperar.

Qué hacer ahora

1. Haz inventario de los Cisco Secure Email Gateway, incluidos los gestionados por proveedores, y de la versión de cada uno.
2. Comprueba la configuración: verifica si está activa la función AMP con el servicio de file reputation, la condición indicada en la descripción de la CVE.
3. Aplica las instrucciones de Cisco: sigue el aviso cisco-sa-esa-afw-zqYJkjxp para las versiones corregidas y las posibles mitigaciones. Si piensas cambiar la configuración de AMP como medida temporal, comprueba antes en el aviso de Cisco si es un workaround indicado por el fabricante.
4. Si no puedes intervenir de inmediato: como pide la CISA, si no hay mitigaciones disponibles, valora retirar el dispositivo del servicio.
5. Busca rastros de explotación: como la vulnerabilidad ya se está explotando, no basta con actualizar. Revisa archivos creados o modificados de forma inesperada en el gateway, procesos y comandos inusuales, conexiones salientes anómalas y mensajes con adjuntos inusuales en los registros de correo; usa los procedimientos de verificación de Cisco, si los hay.
6. Si encuentras indicios de compromiso: conserva registros y pruebas para el análisis forense antes de reinstalar y, después, cambia las credenciales, claves y certificados configurados en el gateway.

Cómo ayuda ARXDOME

ARX Expose controla los servicios que tu empresa expone en Internet, los productos reconocidos y sus vulnerabilidades conocidas, incluidos los sistemas de correo accesibles desde fuera. ARX Sentry recoge registros y eventos de servidores y firewalls en un colector central, de modo que las conexiones anómalas desde y hacia el gateway quedan registradas también fuera del dispositivo. ARX Horizon enriquece los eventos con listas de amenazas e información sobre vulnerabilidades.

Última actualización: 14 de octubre de 2026