Cisco corrige una falla de Secure Email Gateway explotada para obtener acceso root

Cisco publicó el 14 de septiembre una corrección para CVE-2026-76461, una inyección SQL crítica en el procesamiento de correo de AsyncOS para Secure Email Gateway. Un mensaje especialmente construido que atraviese el dispositivo puede insertar sentencias SQL y derivar en ejecución de comandos con privilegios root, sin autenticación ni interacción del usuario.

El fabricante confirmó explotación activa durante septiembre. CISA incorporó la vulnerabilidad a su catálogo KEV el mismo día y fijó el 17 de septiembre como fecha de remediación para los organismos federales estadounidenses sujetos a su directiva; para el resto de organizaciones, la inclusión sirve como evidencia adicional de abuso real.

La falla afecta appliances físicos y virtuales de Cisco Secure Email Gateway, independientemente de su configuración. Cisco Secure Email and Web Manager y Secure Web Appliance no están afectados por esta CVE específica.

El impacto es especialmente grave porque la pasarela procesa correo entrante en el perímetro. El acceso root puede permitir alterar el sistema, acceder a información sensible y ocultar evidencias locales. Cisco advierte que un intruso con ese nivel de control podría borrar indicadores, por lo que una revisión limitada al propio equipo no basta para descartar compromiso.

No existe una solución alternativa. Los administradores deben identificar la rama exacta de AsyncOS e instalar la primera versión corregida o una posterior según la matriz oficial de Cisco. Los clientes de Secure Email Cloud deben comprobar las comunicaciones directas del fabricante, que ya aplicó mitigaciones en la parte administrada del servicio.

La combinación de explotación confirmada, acceso remoto sin credenciales y control root justifica tratamiento de incidente, no solo una actualización rutinaria. Deben priorizarse de inmediato las pasarelas que recibieron correo desde Internet mientras ejecutaban una versión vulnerable.