Cisco admite intrusiones en sus pasarelas de correo: un solo correo basta para ejecutar comandos como roo

Cisco confirmó intrusiones reales en pasarelas de correo corporativas a través de una vulnerabilidad crítica que se explota enviando un correo con un adjunto malicioso. Un atacante puede obtener privilegios root sin contraseña y tomar completamente control del dispositivo, destinado a proteger el correo electrónico.

El problema recibió el identificador CVE-2026-76519 y una puntuación de 9,8 en la escala CVSS. La vulnerabilidad afecta a la función Advanced Malware Protection (AMP) en Cisco Secure Email Gateway. La causa fue el tratamiento incorrecto de los adjuntos de correo cuando está habilitado el servicio de reputación de archivos. Un adjunto especialmente preparado permite escribir archivos arbitrarios en el sistema operativo y ejecutar comandos con los máximos privilegios.

Están en riesgo las pasarelas físicas y virtuales con versiones vulnerables de AsyncOS si el servicio File Reputation está activado en la política de correo y la versión de Content Scanner Tools es anterior a 25.3.0.5525. No se requiere cuenta para el atacante, ni ninguna acción por parte del destinatario del correo. Los productos Secure Email and Web Manager y Secure Web Appliance no están afectados.

Es especialmente peligroso que exista la posibilidad de ocultar las consecuencias de la intrusión. Tras obtener acceso root, el atacante puede modificar archivos del sistema y borrar rastros de su presencia. Cisco recomienda comprobar el registro system_logs con el comando grep "System Security" system_logs, así como revisar los registros de red externos. Deben despertar sospechas las transferencias inesperadas de archivos a direcciones IP externas y las descargas desde servidores maliciosos.

La empresa ya detectó signos de actividad maliciosa en la infraestructura de algunos clientes de Cisco Secure Email Cloud y se puso en contacto con los afectados directamente. Las pasarelas en la nube recibieron el paquete corregido de Content Scanner Tools. Para los dispositivos locales están disponibles AsyncOS 15.5.5-014 y 16.5.0-780. La corrección también está incluida en Content Scanner Tools 25.3.0.5525 y versiones posteriores; además, el componente se puede actualizar sin reiniciar el dispositivo.

Si una pasarela virtual ya ha sido comprometida, una simple actualización no es suficiente. Cisco aconseja primero preservar los datos para la investigación, luego desplegar una nueva máquina virtual y restaurar manualmente la configuración sin importar la configuración antigua. Será necesario reemplazar contraseñas, claves y otros materiales criptográficos. La compromisión de las claves SSH puede poner en riesgo al resto de dispositivos del clúster.

En el boletín de seguridad publicado el 14 de octubre, Cisco confirmó que detectó ataques activos en octubre de 2026. La vulnerabilidad se descubrió durante una revisión interna de seguridad. La empresa no divulga el número de organizaciones afectadas, la identidad de los atacantes ni los métodos utilizados para persistir en los sistemas comprometidos.

Para Cisco Secure Email Gateway, este incidente no es el primero. En septiembre la empresa ya cerró una vulnerabilidad que permitía capturar pasarelas mediante comandos SQL maliciosos en correos. Antes, en enero de 2026, Cisco solucionó otra vulnerabilidad crítica en AsyncOS que los atacantes utilizaron para instalar puertas traseras persistentes.