Falla crítica en Cisco Secure Email Gateway ya está siendo explotada con solo enviar un correo
Cisco confirmó una vulnerabilidad crítica en su Secure Email Gateway (identificada como CVE-2026-76461, con puntaje CVSS de 9.8 sobre 10) que está siendo explotada activamente en este momento. El fallo se origina en la forma en que el software AsyncOS procesa los correos entrantes: un atacante puede enviar un mensaje especialmente diseñado, con sentencias SQL maliciosas incrustadas, y lograr que el appliance ejecute comandos arbitrarios en el sistema operativo subyacente con privilegios de root. En otras palabras, no hace falta que nadie haga clic en nada ni abra un adjunto — basta con que el correo llegue al gateway para que el ataque se dispare.
Lo que hace especialmente delicado este caso es el nivel de acceso que obtiene el atacante. Con privilegios de root sobre el equipo que filtra y protege el correo corporativo, es posible interceptar comunicaciones, moverse lateralmente hacia el resto de la red, e incluso borrar o manipular la evidencia del propio ataque, algo que Cisco advirtió explícitamente en su aviso. La compañía descubrió la falla de forma interna mientras revisaba otros problemas en la misma línea de producto, y aunque publicó indicadores de compromiso, todavía no ha revelado quién está detrás de la explotación ni los detalles técnicos completos del ataque observado en la vida real.
La vulnerabilidad afecta tanto a los appliances físicos como virtuales de Cisco Secure Email Gateway, en cualquier configuración — no así Secure Email and Web Manager ni Secure Web Appliance, que quedan fuera del alcance de este fallo específico. La Agencia de Ciberseguridad de Estados Unidos (CISA) agregó el CVE a su catálogo de vulnerabilidades explotadas conocidas (KEV) este 16 de septiembre, dando a las agencias federales apenas hasta el día siguiente para remediarlo, un plazo que refleja la urgencia con la que Cisco y CISA están tratando este caso.
Para cualquier organización que dependa de un gateway de correo como primera línea de defensa, este tipo de fallas recuerda que la infraestructura de seguridad misma puede convertirse en el punto de entrada si no se parchea con la misma prioridad que cualquier otro sistema expuesto a internet. Aplicar la actualización de Cisco de inmediato, revisar logs en busca de los indicadores de compromiso publicados y validar que no haya señales de acceso no autorizado son los pasos que no deberían posponerse. En Axentia damos seguimiento a este tipo de alertas críticas para nuestros clientes con infraestructura Cisco, ayudando a priorizar los parches que realmente importan antes de que se conviertan en un incidente.
Fuentes: SecurityWeek, Rapid7 y SOCPrime — cobertura de la explotacion activa de CVE-2026-76461 en Cisco Secure Email Gateway.
