NoticiasNews

Cisco Secure Email Gateway: falla crítica CVE-2026-76519 ya se explota y no tiene solución alternativaCisco Secure Email Gateway: Critical Flaw CVE-2026-76519 Is Being Exploited With No Workaround

2026-10-16

The Hacker News informó el 14 de octubre de 2026 que Cisco advierte ataques activos contra una vulnerabilidad crítica en Cisco Secure Email Gateway (AsyncOS), tanto en equipos físicos como virtuales. Se trata de CVE-2026-76519, con CVSS 9.8, detectada por el escaneo interno de Cisco.

Qué permite la falla

Un remitente sin autenticar puede enviar un adjunto manipulado que escribe archivos en el sistema operativo del equipo, lo que podría derivar en ejecución de comandos como root. Aplica solo si el servicio File Reputation está habilitado y asignado a una política de correo, y la versión de Content Scanner Tools es anterior a 25.3.0.5525. Secure Email and Web Manager y Secure Web Appliance no están afectados.

Qué hacer

  • No hay solución alternativa: actualizar Content Scanner Tools a 25.3.0.5525 o superior (se instala sin reinicio) y confirmar con contentscannerstatus.
  • Versiones corregidas de AsyncOS: 15.5.5-014 y 16.5.0-780. Para la 16.0 no hay compilación corregida y Cisco recomienda migrar.
  • Buscar indicios con grep "System Security" system_logs en cada miembro del clúster; un resultado limpio no descarta compromiso, así que hay que revisar también los registros de firewall y red.
  • Si un equipo virtual está comprometido: conservar evidencia, desplegar una VM nueva en una versión corregida, reconstruir la configuración sin importar la anterior y renovar credenciales.

Es el tercer fallo con acceso root en estos equipos que Cisco confirma como explotado desde diciembre de 2025, y se suma a CVE-2026-76461, una inyección SQL de septiembre ya incluida en el catálogo KEV de CISA.

Impacto operativo

El correo es el canal por el que entran la mayoría de las solicitudes de clientes y de soporte. Si el gateway se compromete o debe sacarse de servicio, los tickets dejan de llegar y los SLA corren en silencio. Conviene tener canales alternativos y un registro único de incidentes.

Servigo365, la mesa de ayuda de TEKFENIX, centraliza solicitudes multicanal en tickets con historial y SLA, lo que permite al equipo de TI documentar el incidente, asignar la tarea de parcheo y mantener la atención mientras se remedia. Con Nexturno, las sucursales mantienen turnos y citas ordenados aunque un canal digital esté afectado. Fuente: The Hacker News / Cisco.

The Hacker News reported on October 14, 2026 that Cisco is warning of active attacks against a critical vulnerability in Cisco Secure Email Gateway (AsyncOS), on both physical and virtual appliances. It is CVE-2026-76519, CVSS 9.8, found by Cisco's internal scanning.

What the flaw allows

An unauthenticated sender can use a crafted attachment to write files to the appliance's operating system, which could lead to commands running as root. It applies only if the File Reputation service is enabled and assigned to a mail policy, and Content Scanner Tools is earlier than 25.3.0.5525. Secure Email and Web Manager and Secure Web Appliance are not affected.

What to do

  • There is no workaround: update Content Scanner Tools to 25.3.0.5525 or later (no restart needed) and confirm with contentscannerstatus.
  • Fixed AsyncOS builds: 15.5.5-014 and 16.5.0-780. There is no fixed build for 16.0, and Cisco recommends migrating.
  • Check for signs with grep "System Security" system_logs on every cluster member; a clean result does not rule out compromise, so also review firewall and network logs.
  • If a virtual appliance is compromised: preserve evidence, deploy a new VM on a fixed release, rebuild the configuration without importing the old one and renew credentials.

It is the third root-level flaw in these appliances that Cisco has confirmed as exploited since December 2025, and it follows CVE-2026-76461, a September SQL injection already in CISA's KEV catalog.

Operational impact

Email is the channel through which most customer and support requests arrive. If the gateway is compromised or must be taken offline, tickets stop arriving and SLAs run silently. Keep alternative channels and a single incident log.

Servigo365, the TEKFENIX helpdesk, centralizes multichannel requests as tickets with history and SLA, letting IT document the incident, assign the patching task and keep serving users during remediation. With Nexturno, branches keep queues and appointments orderly even if a digital channel is affected. Source: The Hacker News / Cisco.

← Volver al blog← Back to blog