CISA incorporó CVE-2026-76519 a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) el 14 de octubre de 2026, por indicios de explotación activa. Cisco dijo que tuvo conocimiento de esos ataques durante octubre. La vulnerabilidad afecta a Cisco Secure Email Gateway (SEG) cuando coinciden dos condiciones de configuración; el fallo podría permitir que un atacante remoto sin autenticación escriba archivos y ejecute comandos con privilegios de root en el dispositivo.
Qué permite CVE-2026-76519
El fallo es un recorrido relativo de rutas en el procesamiento de adjuntos de Advanced Malware Protection (AMP). Según la descripción técnica publicada por The Hacker News, un atacante podría enviar un correo electrónico manipulado a través de una puerta de enlace vulnerable para escribir archivos arbitrarios y ejecutar comandos como root en el sistema operativo subyacente. The Register también informó de una puntuación CVSS de 9,8 sobre 10 para la vulnerabilidad.
The Hacker News informó de que las versiones corregidas AsyncOS 15.5.5-014 y 16.5.0-780 se habían distribuido el 14 de septiembre de 2026. Cisco dijo que tuvo conocimiento de la explotación activa durante octubre.
Cómo comprobar si se cumplen las condiciones de exposición
La descripción de los sistemas afectados abarca dispositivos SEG físicos y virtuales con una versión vulnerable de AsyncOS. Además, deben cumplirse las dos condiciones siguientes:
| Condición reportada | Cómo comprobarla |
| File Reputation está activado y asignado a una política de correo. | En la política de entrada o salida correspondiente, abre Mail Policies > Incoming Mail Policies > Advanced Malware Protection, o la ruta equivalente de Outgoing Mail Policies, y comprueba si está seleccionada la opción Enable File Reputation. |
| Content Scanner Tools es anterior a 25.3.0.5525. | Ejecuta contentscannerstatus y comprueba la versión instalada. |
La vulnerabilidad no afecta a todos los productos de Cisco: el alcance descrito se limita a Secure Email Gateway. Secure Email and Web Manager y Secure Web Appliance quedan fuera de ese alcance, según el análisis de The Hacker News.
Correcciones reportadas
The Hacker News indicó como versiones corregidas AsyncOS 15.5.5-014 y 16.5.0-780. También señaló que Content Scanner Tools 25.3.0.5525 o posterior corrige el problema en versiones de AsyncOS con licencia y soporte. La actualización del escáner puede instalarse sin actualizar AsyncOS ni reiniciar el dispositivo.
Si las actualizaciones automáticas del escáner están desactivadas, se puede ejecutar contentscannerupdate o activarlas en Security Services > Service Updates. The Register informó de que Cisco no ofrecía una solución alternativa: la respuesta pasa por actualizar el software o el escáner.
Qué hacer si se sospecha un compromiso
El comando reportado para buscar indicadores es grep "System Security" system_logs. Un resultado sin indicadores no basta para descartar un compromiso: un atacante con privilegios de root podría borrar u ocultar rastros. Las indicaciones descritas por The Hacker News también recomiendan revisar los registros del cortafuegos y de la red externa en busca de transferencias inusuales.
Para recuperar un dispositivo virtual potencialmente comprometido, la secuencia reportada es preservar primero los datos forenses; desplegar después una máquina virtual nueva con una versión corregida; reconstruir la configuración sin importar el archivo de configuración anterior; renovar las credenciales y el material criptográfico; y mantener la vigilancia. Si un miembro de un clúster está comprometido, la recomendación reportada es restaurar todos sus miembros, porque las claves privadas SSH de uno de ellos podrían poner en riesgo a los demás. Para un dispositivo físico, las indicaciones de Cisco citadas por The Hacker News remiten al Technical Assistance Center (TAC).
En Cisco Secure Email Cloud, The Hacker News informó de que Cisco había desplegado el escáner corregido y contactado con clientes cuyos dispositivos mostraban indicios de posible compromiso. A esos clientes contactados no se les exigía ninguna acción para recibir esa actualización; la recomendación incluía renovar credenciales y material criptográfico cuando fuera posible.
A quién se aplica la directiva BOD 26-04
CISA añadió CVE-2026-76519 al catálogo KEV por indicios de explotación activa y explicó en su alerta del 14 de octubre que la directiva BOD 26-04 se aplica a las agencias civiles del Poder Ejecutivo federal de Estados Unidos. La directiva prioriza vulnerabilidades de alto riesgo en activos expuestos a Internet cuando su explotación permite el control total. CISA anima a otras organizaciones a priorizar las vulnerabilidades del catálogo mediante una gestión basada en el riesgo, pero la directiva no las incluye.
