Cisco alerta por ataques contra Secure Email Gateway: hay una actualización disponible

La vulnerabilidad CVE-2026-76519 afecta determinadas configuraciones de la pasarela de correo empresarial de Cisco. La corrección puede aplicarse actualizando Content Scanner Tools, sin reiniciar el dispositivo, pero los posibles compromisos requieren una investigación adicional.

Cisco confirmó ataques activos contra una vulnerabilidad crítica en Secure Email Gateway, su plataforma para filtrar amenazas en el correo empresarial.

Identificada como CVE-2026-76519, recibió una puntuación de gravedad de 9,8 sobre 10. Un atacante sin credenciales podría enviar un correo con un adjunto especialmente preparado y conseguir escribir archivos o ejecutar comandos con privilegios de administrador del sistema. sec.cloudapps.cisco.com

Qué equipos están afectados

La exposición alcanza a dispositivos físicos y virtuales que ejecuten una versión vulnerable de AsyncOS y cumplan simultáneamente estas condiciones:

• Tener File Reputation, parte de Advanced Malware Protection, habilitado y asignado a una política de correo.
• Utilizar Content Scanner Tools anterior a 25.3.0.5525.

El aviso no afecta a todos los productos Cisco ni describe una falla en Outlook o Gmail. sec.cloudapps.cisco.com

Para una organización, el primer paso es identificar si utiliza esta pasarela y quién administra sus actualizaciones.

Cómo comprobar y aplicar la corrección

The Hacker News explica que los administradores pueden consultar la versión del componente con:

contentscannerstatus

Si necesita actualizarse, el comando indicado es:

contentscannerupdate

La versión corregida es 25.3.0.5525 o posterior. Esta actualización del componente no requiere reiniciar el equipo. Incluso con actualizaciones automáticas habilitadas, conviene verificar que se haya instalado. thehackernews.com

Cisco también identifica versiones completas de AsyncOS con la corrección, entre ellas 15.5.5-014 y 16.5.0-780. La elección debe revisarse con el aviso oficial y la configuración del dispositivo. sec.cloudapps.cisco.com

Actualizar no reemplaza la revisión de seguridad

Cuando existen indicios de intrusión, instalar el parche no basta para recuperar la confianza en el equipo.

The Hacker News destaca que Cisco recomienda preservar la evidencia antes de intervenir una instancia comprometida. Para dispositivos virtuales sospechosos, la recuperación incluye desplegar una instancia nueva, reconstruir la configuración y renovar credenciales y material criptográfico.

También advierte que un resultado sin indicadores no descarta completamente una intrusión: un atacante con privilegios suficientes podría ocultar rastros. thehackernews.com

Qué deberían hacer las empresas

La prioridad es coordinar con el responsable técnico la comprobación de versiones y la aplicación de la corrección. Si aparecen señales sospechosas, corresponde seguir el procedimiento de respuesta a incidentes y contactar con Cisco TAC.

El equipo que protege el correo también necesita mantenimiento y supervisión. Mantener un inventario actualizado, registrar quién administra cada servicio y comprobar las actualizaciones facilita responder cuando surge una alerta como esta.