Cisco corrige el zero-day de Secure Email Gateway explotado en ataques

Cisco ha corregido una vulnerabilidad crítica de tipo zero-day en Secure Email Gateway después de confirmar su explotación activa en septiembre de 2026. El fallo, identificado como CVE-2026-76461, afecta a dispositivos virtuales y físicos que ejecutan Cisco AsyncOS Software for Cisco Secure Email Gateway, independientemente de su configuración.

Los atacantes remotos no autenticados pueden aprovechar una validación insuficiente en el análisis del correo electrónico mediante el envío de un mensaje diseñado con sentencias SQL maliciosas. Una explotación exitosa puede permitir ejecutar sentencias SQL arbitrarias y comandos con privilegios de root en el sistema operativo subyacente.

Cisco compartió indicadores de compromiso y pidió a los equipos defensivos que busquen sentencias SQL sospechosas en los mail_logs de cada dispositivo del clúster. También recomendó revisar los registros de red y del cortafuegos para detectar cargas y descargas sospechosas desde o hacia direcciones IP externas o maliciosas, ya que los atacantes pueden eliminar pruebas.

Shadowserver sigue la actividad de más de 400 dispositivos Cisco Secure Email Gateway, aunque no indica cuántos son honeypots o ya están protegidos. CISA añadió CVE-2026-76461 al Known Exploited Vulnerabilities Catalog y ordenó a las agencias federales corregir sus sistemas en un plazo de 3 días, antes del 17 de septiembre. Cisco también corrigió 4 vulnerabilidades críticas adicionales en dispositivos Secure Email Gateway y Secure Email and Web Manager, pero afirmó no tener pruebas de que hubieran sido explotadas.