Zero-day Cisco Secure Email Gateway: versiones corregidas e IoC

La vulnerabilidad CVE-2026-76519 de Cisco Secure Email Gateway (SEG), explotada como zero-day, permite a un atacante no autenticado escribir archivos y ejecutar comandos como root enviando un correo con un adjunto manipulado: el mecanismo, la gravedad (CVSS 9.8) y la inclusión en el catálogo KEV de la CISA se describen en el artículo del 14 de octubre. Desde entonces, el aviso de Cisco, recogido por BleepingComputer y The Register, y el aviso AV26-1042 del Canadian Centre for Cyber Security han añadido los detalles que necesita quien gestiona el gateway: las condiciones exactas de vulnerabilidad, las versiones corregidas, los mensajes de registro que indican un compromiso y las comprobaciones que hay que hacer después de actualizar.

Cuándo es vulnerable un gateway

Según el aviso de Cisco, recogido por ambos medios, están afectados los appliances SEG, físicos y virtuales, con una versión vulnerable de Cisco AsyncOS cuando se cumplen las dos condiciones:

• el servicio File Reputation, parte de Advanced Malware Protection (AMP), está activo y asignado a una política de correo;
• la versión de Content Scanner Tools es anterior a la 25.3.0.5525.

Para comprobarlo, BleepingComputer indica dos controles:

• desde la línea de comandos, contentscannerstatus muestra la versión de Content Scanner Tools en uso;
• en la interfaz web, la casilla “Enable File Reputation” está en Mail Policies > Incoming Mail Policies > Advanced Malware Protection y en la ruta equivalente de las Outgoing Mail Policies. Revisa las dos: la condición vale también para el correo saliente.

Versiones corregidas

El aviso AV26-1042 del centro canadiense enumera las versiones de referencia:

• Cisco AsyncOS para Secure Email Gateway: 15.5 anteriores a la 15.5.5-014; 16.5 anteriores a la 16.5.0-780;
• Cisco Secure Email and Web Manager: 15.5 anteriores a la 15.5.5-006; 16.5 anteriores a la 16.5.0-429.

El aviso canadiense habla de vulnerabilidades en plural y remite también a la “Security Hardening Release” de septiembre de 2026 para SEG y Secure Email and Web Manager. Los dos medios, en cambio, describen la CVE-2026-76519 solo para SEG: para Secure Email and Web Manager conviene comprobar en el aviso de Cisco a qué corrección se refieren las versiones indicadas.

Según The Register no hay workarounds: el fallo solo se cierra actualizando AsyncOS. Cisco recomienda a quien usa versiones anteriores a la 16.5 migrar a la 16.5.0-780.

Indicadores de compromiso

Cisco no ha descrito los ataques, pero según BleepingComputer ha publicado los mensajes de registro que muestra el gateway tras un control de seguridad, con la acción que hay que tomar:

• System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.: compromiso detectado, sigue las recomendaciones del aviso;
• System Security: Security scan did not complete. Contact TAC for further recommendations.: control no completado, contacta con el soporte técnico de Cisco (TAC);
• System Security: No compromise indicator was found.: ningún compromiso detectado, instala la versión corregida si corresponde.

Cisco advierte además de que un atacante con ejecución de comandos como root puede borrar las huellas de la explotación en el appliance. Por eso pide cruzar los registros de los firewalls y de la red en busca de actividad sospechosa, como descargas y subidas desde y hacia direcciones IP externas o sospechosas. En términos de MITRE ATT&CK, además de la explotación inicial (T1190, Exploit Public-Facing Application), el borrado de huellas entraría en T1070 (Indicator Removal): las fuentes lo presentan como posibilidad, no como hecho observado.

Instancias en la nube y clientes contactados

Según BleepingComputer, Cisco ya ha aplicado mitigaciones en las instancias en la nube y ha contactado con los clientes de Cisco Secure Email Cloud en los que encontró pruebas de un posible compromiso. Les recomienda devolver el dispositivo a una configuración segura renovando las credenciales y el material criptográfico instalado en el appliance, y limitar el acceso al gateway con controles robustos.

Un portavoz de Cisco dijo a The Register que la vulnerabilidad afecta a “un número limitado de clientes”, sin precisar cuántos appliances fueron comprometidos ni qué hicieron los atacantes tras el acceso. Cisco tuvo conocimiento de la explotación activa en octubre de 2026.

Exposición y contexto

BleepingComputer cita datos de Shadowserver: casi 300 instancias de Cisco Secure Email Gateway expuestas en Internet, sin indicar cuántas son honeypots o ya están actualizadas.

Es el segundo zero-day de SEG en dos meses: a mediados de septiembre Cisco había informado de la explotación de la CVE-2026-76461, en el análisis de correos de AsyncOS, que también lleva a ejecutar comandos como root. Antes, la CVE-2025-20393 de AsyncOS fue explotada contra appliances SEG y Secure Email and Web Manager: según BleepingComputer desde noviembre de 2025, con corrección en enero; según The Register, los atacantes la usaron para instalar mecanismos de persistencia.

Para las empresas europeas e italianas la repetición importa: el gateway de correo está expuesto por definición y ha sido varias veces el punto de entrada. Para las entidades sujetas a NIS2 es un sistema que hay que tratar como crítico en la gestión de vulnerabilidades, con comprobaciones de compromiso documentadas tras cada actualización.

Qué hacer ahora

1. Comprueba las dos condiciones en cada gateway: contentscannerstatus para Content Scanner Tools y la casilla “Enable File Reputation” en las políticas de entrada y de salida.
2. Actualiza AsyncOS a la 15.5.5-014 o a la 16.5.0-780 (desde versiones anteriores a la 16.5, a la 16.5.0-780). No hay workarounds.
3. Revisa los mensajes System Security y, si indican un compromiso sospechoso o un control no completado, contacta con el TAC.
4. Cruza los registros de firewalls y red, que el atacante no puede borrar desde el gateway: transferencias desde y hacia IP externas o sospechosas.
5. Si hay compromiso o Cisco te ha contactado: renueva credenciales, claves y certificados instalados en el appliance y limita el acceso a la gestión.
6. Para Secure Email and Web Manager, comprueba en el aviso de Cisco las versiones que hay que instalar.

Cómo ayuda ARXDOME

ARX Sentry recoge los registros de los firewalls en un colector central, fuera del gateway: las conexiones desde y hacia el appliance siguen disponibles aunque se borren las huellas locales. ARX Horizon enriquece las direcciones IP con listas de amenazas, y ARX Expose señala los servicios de correo expuestos en Internet y sus vulnerabilidades conocidas.

Última actualización: 15 de octubre de 2026