Zero-day en Cisco: un correo puede tomar tu gateway
Zero-day en Cisco: un correo con un adjunto manipulado puede dar control total de Cisco Secure Email Gateway, el equipo que filtra el correo de muchas empresas. Además, Cisco confirmó el 14 de octubre de 2026 que la falla ya se usa en ataques reales. Por eso, si tu empresa tiene uno de estos equipos, conviene revisarlo hoy mismo.
Qué es el zero-day en Cisco
La falla se identifica como CVE-2026-76519 y tiene una puntuación CVSS de 9.8 sobre 10. En concreto, está en la función Advanced Malware Protection, que revisa los adjuntos del correo. Así, un atacante sin cuenta ni contraseña puede escribir archivos y ejecutar comandos como root, el usuario con más privilegios del equipo.
Sin embargo, Cisco no ha dicho quién está detrás ni qué buscan los atacantes. Solo indica que afecta a un número limitado de clientes. Por su parte, CISA añadió la falla el mismo día a su catálogo de vulnerabilidades explotadas, mientras que Shadowserver rastrea casi 300 equipos expuestos en internet.
Qué equipos están en riesgo
La falla afecta a equipos físicos y virtuales, pero solo si se cumplen dos condiciones a la vez. Primero, el servicio File Reputation debe estar activo y asignado a una política de correo. Segundo, la versión de Content Scanner Tools debe ser anterior a la 25.3.0.5525.
Cabe destacar que este es el segundo caso en un mes, ya que en septiembre de 2026 Cisco reportó otra falla explotada en este producto, la CVE-2026-76461. En consecuencia, conviene tratar estos equipos como un objetivo frecuente y no como un caso aislado.
Cómo protegerte del zero-day en Cisco
Cisco aclara que no existe ninguna solución alternativa, así que el parche es la única salida. Estos son los pasos clave:
- Revisar tu versión: ejecuta el comando contentscannerstatus y confirma que File Reputation esté activo en las políticas de correo.
- Aplicar el parche: instala Content Scanner Tools 25.3.0.5525 o posterior, que no requiere reiniciar, o AsyncOS 15.5.5-014 o 16.5.0-780.
- Buscar señales de intrusión: revisa los registros con grep «System Security» system_logs y contacta a soporte de Cisco si hay alertas.
- Revisar el tráfico: busca en el firewall subidas inesperadas o descargas desde direcciones sospechosas, porque un atacante puede borrar los registros del equipo.
- Limitar el acceso: separa las interfaces de correo y de administración, y coloca el equipo detrás de un firewall.
- Reconstruir si hubo intrusión: guarda primero la evidencia, porque actualizar un equipo virtual comprometido la destruye. Después, instala uno limpio y cambia credenciales y claves.
Finalmente, este caso muestra que el equipo encargado de filtrar los correos peligrosos también puede ser la puerta de entrada. Por lo tanto, ante el zero-day en Cisco, lo más urgente es confirmar que tu gateway ya tiene el parche y que no hay señales de intrusión.
Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.
Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.
Fuentes: Cisco, The Register, BleepingComputer, CSO Online.