Cisco Secure Email Gateway y FortiMail: dos pasarelas de correo con zero-days explotados en octubre

Publicado el 15 octubre 2026 · Equipo mitza.es

Octubre de 2026 ha traído dos zero-days críticos en pasarelas de seguridad de correo, los equipos que filtran el correo antes de que llegue a tus usuarios. Fortinet confirmó el 1 de octubre la explotación de CVE-2026-104286 en FortiMail, y Cisco avisó a mediados de mes, con aviso de CISA del 14 de octubre, de la de CVE-2026-76519 en Secure Email Gateway. Los dos tienen una puntuación CVSS de 9,8, no requieren autenticación y figuran en el catálogo de vulnerabilidades explotadas de CISA.

Cisco Secure Email Gateway: CVE-2026-76519

Es un fallo de path traversal relativo en la función Advanced Malware Protection. Un atacante remoto sin autenticar puede enviar un correo con un adjunto malicioso a través del equipo afectado, escribir archivos arbitrarios y ejecutar comandos con privilegios de root. Afecta a equipos físicos y virtuales, pero solo si se dan dos condiciones a la vez: que File Reputation esté activado y asignado a una política de correo, y que Content Scanner Tools sea anterior a la versión 25.3.0.5525.

• Solución: actualizar Content Scanner Tools a la 25.3.0.5525 o posterior. Cisco indica que no hay mitigación alternativa y, según varios análisis, la actualización no exige una actualización completa del sistema ni un reinicio.
• Cómo comprobarlo: el comando contentscannerstatus muestra la versión instalada y contentscannerupdate fuerza la actualización si las automáticas están desactivadas.
• Explotación: Cisco supo de ella en octubre. No ha dicho cuántos equipos se han visto afectados ni qué hicieron los atacantes; una de las fuentes recoge que detectó actividad maliciosa en algunos equipos de Secure Email Cloud y contactó directamente con sus clientes. CISA dio a las agencias federales hasta el 17 de octubre.

Es el segundo zero-day en este producto en dos meses: el de septiembre, CVE-2026-76461, era una inyección SQL en el análisis de correos que Cisco divulgó el 14 de septiembre. Como los atacantes actúan con privilegios de root, un análisis local limpio no basta para descartar que un equipo ya esté comprometido.

Fortinet FortiMail: CVE-2026-104286

Combina un path traversal con el tratamiento incorrecto de un carácter nulo en el servicio de cifrado basado en identidad (IBE), en el endpoint /ibe. Un atacante sin autenticar puede escribir archivos arbitrarios en el sistema con peticiones HTTP o HTTPS manipuladas. Fortinet lo divulgó el 1 de octubre (aviso FG-IR-26-175) y CISA lo añadió ese mismo día a su catálogo, con plazo hasta el 4 de octubre.

• Versiones afectadas: 7.2.0 a 7.2.9, 7.4.0 a 7.4.8, 7.6.0 a 7.6.6 y 8.0.0 a 8.0.1.
• Parche: en el aviso inicial las versiones corregidas, 8.0.2, 7.6.7 y 7.4.9, estaban planificadas pero no publicadas, y a quienes usan la rama 7.2 se les recomendaba pasar a la 7.4 o superior. Una alerta de la agencia de Singapur del 6 de octubre indica que Fortinet ya ha publicado actualizaciones sin concretar versiones, así que conviene consultar el estado actual en el aviso FG-IR-26-175.
• Mitigación mientras tanto: desactivar IBE desde la línea de comandos (config system encryption ibe, set status disable, end) y bloquear el acceso desde Internet a la interfaz de administración o limitarlo a una red privada de confianza.
• Comprobar si ya hubo ataque: Fortinet ha publicado archivos, direcciones IP y entradas de registro asociados a los ataques, pero no ha dicho cuándo empezaron, cuántos sistemas se vieron afectados ni quién está detrás.

Por qué importan aunque seas una pyme

Una pasarela de correo está expuesta a Internet, procesa todo tu correo y suele tener privilegios muy altos dentro de la red. Si cae, el atacante no solo ve el correo: tiene un punto de apoyo dentro de tu infraestructura. Es el mismo patrón de equipo de perímetro que ya vimos con los zero-days de Citrix NetScaler. Si tu correo vive en Microsoft 365 o Google Workspace sin ningún equipo propio delante, estos dos fallos no te afectan directamente; sí te afectan si tu empresa, tu gestoría o tu proveedor de TI mantiene una de estas pasarelas.

Qué hacer hoy

• Averigua si tu empresa o tu proveedor usa Cisco Secure Email Gateway o FortiMail; si no sabes qué equipos tienes expuestos a Internet, ese es el primer paso.
• En Cisco, comprueba la versión de Content Scanner Tools y actualiza a la 25.3.0.5525 o posterior. Si sospechas que el equipo ya estaba expuesto, trátalo como potencialmente comprometido y conserva los registros antes de reconstruirlo.
• En FortiMail, aplica la mitigación de IBE y la restricción de acceso a la administración, revisa los indicadores de compromiso de Fortinet e instala la versión corregida en cuanto esté disponible para tu rama.
• No dejes interfaces de administración abiertas a Internet en ningún equipo de perímetro.

Esta misma semana Microsoft ha publicado además su boletín de octubre con más de 1.400 vulnerabilidades, así que si no tienes a nadie que lleve el inventario y las actualizaciones, nuestro servicio de mantenimiento informático incluye esa revisión, y una auditoría te dice qué equipos tienes expuestos y en qué versión están.