Cisco ha corregido una vulnerabilidad crítica de inyección SQL en Secure Email Gateway tras detectar su explotación activa. Un correo manipulado que atraviese un appliance físico o virtual afectado puede provocar la ejecución de comandos con privilegios root, por lo que un inventario completo y una remediación rápida son imprescindibles.
Por qué la vulnerabilidad es crítica
Identificado como CVE-2026-76461, el fallo se debe a una validación insuficiente en el código de análisis de correo del appliance. Un atacante puede explotarlo enviando, a través de una pasarela afectada, un mensaje manipulado que contenga sentencias SQL maliciosas.
Una explotación con éxito puede permitir ejecutar sentencias SQL arbitrarias y comandos con nivel root en el sistema operativo subyacente. La CISA ha añadido la vulnerabilidad a su catálogo Known Exploited Vulnerabilities.
Versiones de AsyncOS corregidas
Cisco ha corregido la vulnerabilidad en versiones de firmware AsyncOS publicadas de urgencia:
15.5.5-0141
16.0.4-3021
16.5.0-780
Se ven afectados tanto los appliances físicos como los virtuales de Secure Email Gateway. Las organizaciones deben identificar todas las instancias desplegadas, determinar su versión de firmware actual y priorizar la actualización a la rama corregida que corresponda.
Aplicar el parche puede no ser suficiente
Como la explotación empezó antes de que hubiera correcciones disponibles, una actualización no demuestra que el appliance nunca estuviera comprometido. Los administradores pueden revisar mail_logs en busca de sentencias SQL sospechosas, pero un acceso root podría permitir a un atacante modificar las evidencias locales.
Por ello, Cisco recomienda revisar los registros de red y de firewall conservados fuera del appliance en busca de actividad sospechosa, como cargas o descargas inesperadas con direcciones IP externas. Ante la sospecha de compromiso de un appliance físico, hay que escalar el caso al Technical Assistance Center de Cisco. En el caso de un appliance virtual, Cisco aconseja conservar la información forense, desplegar una nueva instancia con una configuración reconstruida y renovar las credenciales.
Prioridades de respuesta
Una respuesta práctica debe abarcar todo el parque de appliances, no solo las pasarelas que los administradores ya conocen:
Inventariar todas las instancias físicas y virtuales de Secure Email Gateway.
Registrar la versión de AsyncOS instalada y asociarla a la versión corregida correspondiente.
Revisar la telemetría externa de red y de firewall en lugar de fiarse solo de los registros del appliance.
Conservar las evidencias forenses antes de reconstruir o modificar un sistema sospechoso.
Renovar las credenciales asociadas a un appliance virtual comprometido o reconstruido.
Comprobar que se incluyen las pasarelas olvidadas, aisladas o gestionadas con poca frecuencia.
Cómo ayuda ConnectMyAssets
ConnectMyAssets ofrece una plataforma on-premise e independiente del fabricante para gestionar infraestructuras de red multifabricante, incluidos los equipos Cisco. Sus módulos pueden apoyar la parte operativa de esta respuesta:
La CMDB dinámica ayuda a descubrir los appliances gestionados y a mantener un inventario de equipos preciso.
El seguimiento de CVE vincula las vulnerabilidades con cada equipo, lo que mejora la visibilidad de la exposición y la priorización de la remediación.
Copias de seguridad e historial conserva las versiones de configuración con verificación SHA256 y permite la reversión en un clic cuando un cambio gestionado causa problemas.
Automatización y ZTP puede coordinar despliegues masivos en la infraestructura gestionada y reducir el trabajo manual durante una remediación urgente.
La topología de red ayuda a entender dónde se sitúan los appliances afectados y qué caminos de red requieren una investigación más detallada.
El motor de cumplimiento ofrece evaluaciones ponderadas frente a marcos como CISA, NIS2, ISO 27001, PCI-DSS y NIST.
ConnectMyAssets funciona como una imagen OVA on-premise reforzada, por lo que los datos de equipos, configuraciones y vulnerabilidades permanecen en el entorno de la organización. Complementa, sin sustituirlos, la revisión de registros externos, la preservación de evidencias y los pasos de respuesta a incidentes necesarios cuando es posible un compromiso con privilegios root.
Fuente: Network World
