Fecha de emisión: 15 de octubre de 2026
CVE ID: CVE-2026-76519
Severidad: CRÍTICA — CVSS 3.1: 9.8
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-23: Recorrido de directorios relativo (relative path traversal)
Producto afectado: Cisco Secure Email Gateway (físico y virtual) con Cisco AsyncOS
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 14 de octubre de 2026 (fecha límite para agencias federales de EE. UU.: 17 de octubre de 2026)
Fuente: Cisco PSIRT / NVD / CISA / Help Net Security / INCIBE-CERT · avisos / CERT-FR · avisos
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de recorrido de directorios (path traversal) en la función Advanced Malware Protection (AMP) de Cisco Secure Email Gateway, registrada como CVE-2026-76519 y calificada con 9.8 de 10 en la escala CVSS 3.1. Un atacante remoto, sin autenticación, podría escribir archivos arbitrarios en el sistema operativo subyacente y ejecutar comandos con privilegios de root.
El fallo se debe a un manejo incorrecto de los archivos adjuntos cuando el servicio File Reputation está habilitado. Basta con que el atacante envíe un correo con un adjunto especialmente diseñado a través del equipo afectado; no se requiere interacción del usuario.
El 14 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV). Cisco PSIRT confirma que tuvo conocimiento de explotación activa en octubre de 2026.
Descripción técnica publicada en NVD (en inglés): «A vulnerability in the Advanced Malware Protection (AMP) feature of Cisco Secure Email Gateway could allow an unauthenticated, remote attacker to write arbitrary files on the underlying operating system. This vulnerability is due to improper handling of email attachments when the file reputation service is enabled. An attacker could exploit this vulnerability by sending an email that contains a crafted attachment through an affected device. A successful exploit could allow the attacker to write arbitrary files and execute commands with root privileges on the underlying operating system.»
II. Productos Afectados
El equipo es vulnerable solo si se cumplen ambas condiciones: (1) el servicio File Reputation (parte de AMP) está habilitado y asignado a una política de correo, y (2) la versión de Content Scanner Tools es anterior a 25.3.0.5525.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Cisco AsyncOS para Secure Email Gateway 15.5 (y anteriores) | Anteriores a 15.5.5-014 | 15.5.5-014 (Cisco recomienda migrar a 16.5.0-780) |
| Cisco AsyncOS para Secure Email Gateway 16.0 | Todas | Migrar a una versión corregida (16.5.0-780) |
| Cisco AsyncOS para Secure Email Gateway 16.5 | Anteriores a 16.5.0-780 | 16.5.0-780 |
| Content Scanner Tools (todas las versiones de AsyncOS con licencia y soporte) | Anteriores a 25.3.0.5525 | 25.3.0.5525 o posterior |
| Cisco Secure Email Cloud Gateway | — | No requiere acción; corregido por Cisco |
No afectados: Cisco Secure Email and Web Manager y Cisco Secure Web Appliance.
III. Acciones Requeridas
1. Verificar exposición
En la interfaz web, revisar Mail Policies > Incoming/Outgoing Mail Policies > Advanced Malware Protection y comprobar si está marcada la casilla Enable File Reputation. En la CLI, ejecutar contentscannerstatus para ver la versión de Content Scanner Tools.
2. Actualizar inmediatamente
Actualizar Content Scanner Tools a la versión 25.3.0.5525 o posterior con el comando contentscannerupdate (no requiere actualizar AsyncOS ni reiniciar el equipo), o habilitar las actualizaciones automáticas en Security Services > Service Updates. Además, actualizar AsyncOS a 15.5.5-014 o 16.5.0-780 según corresponda.
3. No existen soluciones alternativas
Cisco indica que no hay mitigaciones temporales para esta vulnerabilidad. Como medida general de endurecimiento, separar las interfaces de correo y de administración, impedir el acceso a la administración desde Internet y enviar los registros a un servidor externo.
4. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. Revisar los registros del sistema con:
grep "System Security" system_logs
- «System Security: Suspected compromise indicator was found…»: compromiso detectado; seguir las recomendaciones de recuperación del fabricante.
- «System Security: Security scan did not complete…»: contactar al TAC de Cisco.
- «System Security: No compromise indicator was found.»: sin indicios; actualizar si aplica.
En clústeres, revisar cada equipo miembro. Dado que el atacante puede obtener privilegios de root y borrar evidencias, contrastar también los registros de firewall y de red en busca de cargas inesperadas desde el equipo hacia IP externas o descargas desde IP maliciosas.
Si se confirma el compromiso en un equipo virtual: preservar la evidencia forense antes de actualizar (la actualización destruye registros), desplegar una máquina nueva con versión corregida, reconstruir la configuración sin importar archivos previos y renovar credenciales y material criptográfico. En clústeres, restaurar todos los miembros, ya que las llaves SSH compartidas podrían permitir comprometer al resto. En equipos físicos, contactar al TAC de Cisco. Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Cisco PSIRT. Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp). https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-76519. https://nvd.nist.gov/vuln/detail/CVE-2026-76519
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Help Net Security. CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products. https://www.helpnetsecurity.com/2026/10/15/cve-2026-0322-cve-2026-76519-cve-2026-105133-cve-2026-105134-exploted/
- INCIBE-CERT · avisos. Múltiples vulnerabilidades en productos de Cisco. https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-productos-de-cisco-17
- CERT-FR · avisos. Vulnérabilité dans Cisco AsyncOS Software pour Secure Email Gateway (15 octobre 2026). https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1325/
V. Información de Contacto
CSIRT PANAMA · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124