Cisco parchea CVE-2026-76519 en Secure Email Gateway, explotada en octubre

Cisco publicó el 14 de octubre (16:00 GMT) un aviso de seguridad crítico para Secure Email Gateway que describe la vulnerabilidad CVE-2026-76519: una escritura arbitraria de archivos en el sistema operativo subyacente relacionada con la función Advanced Malware Protection (AMP). El PSIRT de Cisco asigna una puntuación base CVSS 3.1 de 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) y confirma que en octubre de 2026 tuvo conocimiento de explotación activa. No hay soluciones alternativas; el remedio son actualizaciones de software y del paquete Content Scanner Tools.

Según el advisory, un atacante remoto no autenticado puede enviar un correo con un adjunto manipulado a través de un dispositivo afectado. Si el servicio de reputación de archivos de AMP está habilitado y asignado a una política de correo, y la versión de Content Scanner Tools es anterior a 25.3.0.5525, un exploit exitoso permite escribir archivos arbitrarios y ejecutar comandos con privilegios de root. La vulnerabilidad se descubrió en un escaneo interno de seguridad de Cisco. El producto Secure Email and Web Manager y el Secure Web Appliance no están afectados, según la confirmación de la compañía.

Los builds fijos de AsyncOS son 15.5.5-014 en la rama 15.5 y 16.5.0-780 en la 16.5; quienes estén en 16.0 deben migrar a una versión corregida. Cisco recomienda con fuerza pasar a 16.5.0-780 si se corre algo anterior a 16.5. El mismo arreglo se distribuye mediante Content Scanner Tools 25.3.0.5525 o posterior, que puede aplicarse con contentscannerupdate en la CLI sin reiniciar el producto; si las actualizaciones automáticas están activas, el paquete llega sin intervención. En Secure Email Cloud, Cisco indica que ya actuó sobre la infraestructura y que contactó directamente a clientes con indicios de actividad maliciosa.

Para comprobar compromiso, el advisory pide buscar en system_logs con grep "System Security" system_logs. Mensajes como «Suspected compromise indicator was found» o «Security scan did not complete» requieren contactar al TAC; «No compromise indicator was found» indica que no se detectó compromiso, pero aun así conviene actualizar. Cisco advierte que un atacante con root puede borrar indicios en el propio aparato, por lo que conviene contrastar logs de red y firewall. En clusters, las claves SSH usadas entre miembros podrían quedar expuestas; si un nodo está comprometido, Cisco recomienda restaurar de forma segura todos los miembros. En virtuales comprometidos, la guía es preservar forense, desplegar una VM nueva en un build fijo, reconstruir la configuración sin importar backups previos y renovar credenciales y material criptográfico.

Como análisis, CVE-2026-76519 encaja en el patrón de 2026 en el que el perímetro de correo —antes asumido como «solo filtrado»— vuelve a ser vector de root remoto cuando una función de reputación de malware procesa adjuntos de forma incorrecta. Que el disparador sea AMP File Reputation activado convierte la superficie en una decisión de política: desactivar la función mitiga el vector pero no es workaround oficial, y muchas organizaciones la tienen encendida precisamente porque confían en esa capa. Para equipos de SOC, la prioridad no es solo el upgrade de AsyncOS, sino verificar IoC fuera del appliance y rotar secretos de cluster; el aviso de Cisco sobre Cloud ya contactado sugiere que la ventana de explotación previa al parche no fue teórica.