Una vulnerabilidad crítica (CVE-2026-76519, CVSS 9.8) en la función AMP de Cisco Secure Email Gateway permite a un atacante sin autenticación ejecutar comandos como root con solo enviar un correo con un adjunto manipulado, y ya se está explotando. Afecta a equipos físicos y virtuales con AsyncOS 15.5, 16.0 y 16.5 que tengan activo el servicio File Reputation. Actualiza Content Scanner Tools o AsyncOS cuanto antes, empezando por los equipos expuestos a Internet, y revisa si hay señales de compromiso.
Qué está pasando
El 14 de octubre de 2026 Cisco publicó un aviso sobre una vulnerabilidad crítica en la función Advanced Malware Protection (AMP) de Cisco Secure Email Gateway. Se trata de una falla de recorrido de rutas (path traversal) que permite a un atacante remoto, sin credenciales, escribir archivos arbitrarios en el sistema operativo del equipo y ejecutar comandos con privilegios de root. Cisco confirma que la falla se está explotando activamente.
El problema está en el manejo de los adjuntos de correo cuando el servicio File Reputation está habilitado. Basta con que el atacante envíe un correo con un adjunto especialmente preparado que pase por el equipo afectado: no necesita acceso previo ni interacción de ningún usuario.
El riesgo va más allá de un solo equipo. Si el gateway forma parte de un clúster, el atacante podría obtener las llaves SSH privadas que usan los miembros para autenticarse entre sí y comprometer el resto del clúster. Además, con acceso root puede borrar u ocultar los rastros de la intrusión, por lo que la revisión del propio equipo podría no ser suficiente.
No están afectados Secure Email and Web Manager ni Secure Web Appliance. Los clientes de Cisco Secure Email Cloud Gateway no necesitan hacer nada, porque Cisco ya desplegó una versión corregida de Content Scanner Tools.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-76519 | 9.8 | Recorrido de rutas relativo (path traversal) en la función AMP de Cisco Secure Email Gateway, debido a un manejo inadecuado de adjuntos con File Reputation habilitado; permite a un atacante remoto no autenticado escribir archivos arbitrarios y ejecutar comandos como root mediante un correo con un adjunto manipulado. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Cisco Secure Email Gateway (físico y virtual) con Cisco AsyncOS Software 15.5 | 15.5 anteriores a 15.5.5-014 | 15.5.5-014 |
| Cisco Secure Email Gateway (físico y virtual) con Cisco AsyncOS Software 16.0 | 16.0 | — |
| Cisco Secure Email Gateway (físico y virtual) con Cisco AsyncOS Software 16.5 | 16.5 anteriores a 16.5.0-780 | 16.5.0-780 |
| Content Scanner Tools (en todas las versiones de AsyncOS con licencia y soporte) | Anteriores a 25.3.0.5525, con File Reputation habilitado y asignado a una política de correo | 25.3.0.5525 y posteriores |
Qué hacer ahora
- Identifica tus equipos Cisco Secure Email Gateway y revisa si el servicio File Reputation está habilitado: en la interfaz web entra a Mail Policies > Incoming Mail Policies > Advanced Malware Protection y a Mail Policies > Outgoing Mail Policies > Advanced Malware Protection, elige cada política y revisa la casilla Enable File Reputation.
- Verifica la versión de Content Scanner Tools con el comando
contentscannerstatusen la CLI. - Actualiza el paquete Content Scanner Tools a la versión 25.3.0.5525 o posterior, o actualiza Cisco AsyncOS Software a una versión corregida (15.5.5-014 o 16.5.0-780), empezando por los equipos accesibles desde Internet.
- Revisa los registros de cada equipo afectado con
grep "System Security" system_logspara detectar intentos de explotación. - Si aparece «Suspected compromise indicator was found», activa tu plan de respuesta a incidentes; si aparece «Security scan did not complete», activa también el plan y contacta al Cisco TAC.
- Cruza los registros de red y del firewall externos al equipo para buscar actividad sospechosa, como cargas inesperadas desde el gateway hacia IP externas o descargas desde IP maliciosas.
- Si el equipo es parte de un clúster y hay sospecha de compromiso, revisa también los demás miembros del clúster.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Si tu empresa filtra el correo con un Cisco Secure Email Gateway propio, trátalo como urgencia: el equipo recibe correo de Internet por diseño, así que no hay forma de dejarlo fuera del alcance del atacante. Lo más rápido suele ser actualizar Content Scanner Tools, que no exige cambiar la versión de AsyncOS. No te quedes solo en el parche: como el atacante puede borrar sus huellas, un resultado limpio en los registros del propio equipo no basta. Revisa los registros del firewall y de la red de los últimos días buscando conexiones salientes extrañas desde el gateway.
Lo que más se pasa por alto es el efecto en cadena. Si hay clúster, considera la posibilidad de que las llaves SSH estén expuestas, y ante cualquier indicio de compromiso evalúa reinstalar el equipo, rotar credenciales y llaves, y revisar qué cuentas y sistemas internos eran accesibles desde él. Si el gateway lo administra un proveedor externo, pídele por escrito la confirmación de la versión instalada y el resultado de la revisión de registros.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Respaldo y MonitoreoLos respaldos inmutables (RPO desde 15 minutos) te dejan un punto de restauración limpio si la falla llega a ser explotada.
Conocer el servicio → Cerberus MailCerberus Mail filtra malware y phishing antes de que lleguen a la bandeja, con antivirus actualizado a diario y análisis de adjuntos de Office.
Conocer el servicio →