Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability
The Hacker News · 14 oct, 20:38
Qué hacer: Actualiza Content Scanner Tools a 25.3.0.5525 o posterior, o migra AsyncOS a 16.5.0-780 o 15.5.5-014 según tu rama; verifica que el servicio File Reputation esté habilitado y busca indicadores de compromiso con grep "System Security" system_logs.
Cisco advierte sobre ataques activos que explotan un fallo crítico en Cisco Secure Email Gateway (CVE-2026-76519, CVSS 9.8) que permite a un atacante sin credenciales escribir archivos en el sistema operativo de la pasarela de correo y ejecutar comandos como root mediante un email con un adjunto malformado. La vulnerabilidad afecta a dispositivos con el servicio File Reputation habilitado y Content Scanner Tools anterior a la versión 25.3.0.5525. Cisco ha contactado a clientes de su servicio gestionado cuyas máquinas mostraban indicadores de compromiso y ha distribuido la corrección desde el 14 de septiembre en AsyncOS 15.5.5-014 y 16.5.0-780.
El fallo CVE-2026-76519 requiere dos condiciones simultáneas: que File Reputation, parte de Advanced Malware Protection (AMP), esté habilitado en una política de correo, y que Content Scanner Tools sea anterior a 25.3.0.5525. Cisco descubrió la vulnerabilidad en su escaneo de seguridad interno y se percató de los ataques en octubre. El impacto es crítico: un atacante no autenticado puede ejecutar comandos como root escribiendo primero archivos en el sistema operativo de la pasarela.
La corrección más rápida es actualizar Content Scanner Tools a 25.3.0.5525 o posterior, que se instala sin reinicio ni upgrade de software. Para AsyncOS completo, Cisco recomienda migrar a 16.5.0-780 en la rama 16.5, o a 15.5.5-014 en la rama 15.0. No existe parche para la rama 16.0 anterior a la versión 16.5. En el caso de dispositivos comprometidos, Cisco pide preservar datos forenses antes de cualquier acción y contactar a TAC; para máquinas virtuales recomienda un rebuild desde cero con credenciales nuevas. Esta es la segunda vulnerabilidad crítica en Secure Email Gateway confirmada bajo ataque en un mes, tras CVE-2026-76461 (SQL injection) divulgada el 14 de septiembre.
Puntos clave
- Afectados: Secure Email Gateway con File Reputation habilitado y Content Scanner Tools < 25.3.0.5525
- Corrección rápida: actualizar Content Scanner Tools a 25.3.0.5525 o posterior sin necesidad de reinicio
- AsyncOS fijo en 15.5.5-014, 16.5.0-780; no hay parche para rama 16.0, migrar a 16.5
- Verificar compromise: comando grep "System Security" system_logs; si hay indicadores, contactar a TAC
- Sin workaround; máquinas virtuales comprometidas requieren rebuild desde cero con credenciales nuevas