Underc0de - La Casa de los Informáticos

Cisco ha emitido una alerta de seguridad de alta prioridad tras confirmar que una vulnerabilidad en Cisco Secure Firewall Management Center (FMC) está siendo explotada activamente en ataques de día cero. El fallo, identificado como CVE-2026-20316, permite que atacantes remotos accedan sin autorización a dispositivos vulnerables utilizando credenciales estáticas integradas en el software, una situación que podría derivar en compromisos de infraestructura crítica y acceso a información sensible.

Aunque la vulnerabilidad posee una puntuación CVSS de 5.3, la compañía decidió clasificarla como de Alta Severidad, ya que puede combinarse con otras vulnerabilidades del sistema para lograr una escalada de privilegios hasta obtener control administrativo del dispositivo.

¿Qué es CVE-2026-20316?

La vulnerabilidad CVE-2026-20316 se origina por la existencia de credenciales estáticas incorporadas en una cuenta de bajo privilegio dentro del software Cisco Secure Firewall Management Center.

Estas credenciales permiten que un atacante remoto, sin necesidad de autenticación previa, pueda iniciar sesión en un dispositivo vulnerable y acceder a la información disponible para dicha cuenta. Si bien el acceso inicial es limitado, Cisco advierte que los ciberdelincuentes pueden combinar este fallo con otras vulnerabilidades aún no reveladas para obtener privilegios elevados y comprometer completamente el sistema.

Hasta el momento, la empresa no ha revelado qué vulnerabilidades adicionales están siendo utilizadas durante la cadena de ataque, lo que incrementa la preocupación entre los administradores de seguridad.

Explotación activa confirmada

Cisco confirmó que la vulnerabilidad está siendo explotada activamente desde julio de 2026, aunque no ha precisado cuándo comenzaron exactamente los ataques.

Tampoco ha revelado:

• La identidad de los actores de amenazas responsables.
• Los sectores afectados.
• La cantidad de organizaciones comprometidas.
• La metodología completa utilizada durante la explotación.

El fallo fue reportado por Jimi Sebree, investigador de seguridad de Horizon3.ai, quien notificó a Cisco antes de la publicación del aviso de seguridad.

La compañía recomienda asumir que cualquier dispositivo expuesto a Internet puede ser un objetivo potencial y actuar de inmediato aplicando las actualizaciones disponibles.

Productos afectados

La vulnerabilidad afecta a todas las instalaciones de Cisco Secure Firewall Management Center Software, independientemente de la configuración implementada.

Sin embargo, Cisco confirmó que no están afectados:

• Cisco Secure Firewall Cloud Delivered FMC.
• Firewall Device Manager (FDM).
• Cisco Secure Firewall ASA Software.
• Cisco Secure Firewall Threat Defense Software.
• Cisco Security Cloud Control.

Esto significa que el riesgo se concentra específicamente en las implementaciones locales de Cisco Secure FMC.

Actualizaciones de seguridad disponibles

Cisco ya publicó correcciones rápidas (Hotfixes) para las siguientes versiones:

• 7.0
• 7.2
• 7.4
• 7.6
• 7.7
• 10.0

La empresa enfatiza que no existen soluciones alternativas que mitiguen completamente la vulnerabilidad.

La única medida efectiva consiste en instalar inmediatamente los parches oficiales publicados por Cisco.

Además, Cisco recomienda evitar exponer la interfaz de administración de FMC directamente a Internet, ya que esta práctica reduce considerablemente la superficie de ataque.

Cómo comprobar si un dispositivo fue comprometido

Cisco también publicó un procedimiento para ayudar a los administradores a detectar posibles compromisos.

Desde el modo experto del sistema debe ejecutarse el siguiente comando:

cat /var/log/messages | grep license

Si aparece una entrada similar a la siguiente:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

podría indicar que el dispositivo fue comprometido.

En particular, Cisco identifica como Indicador de Compromiso (IOC) la presencia del archivo:

/var/tmp/license.tmp

Este registro refleja que el proceso web de FMC ejecutó el script package_info.pl con privilegios root, utilizando un archivo temporal que podría formar parte de la explotación.

Qué hacer si se detecta el IOC

Si el indicador de compromiso está presente, Cisco recomienda actuar inmediatamente.

Las acciones prioritarias incluyen:

• Rotar todas las contraseñas de usuarios.
• Cambiar claves privadas.
• Reemplazar certificados digitales.
• Revisar todas las cuentas administrativas.
• Analizar registros adicionales en busca de actividad sospechosa.
• Contactar al Cisco Technical Assistance Center (TAC) para iniciar el proceso de recuperación.

Debido a que la explotación permite acceso al dispositivo, no basta únicamente con instalar el parche una vez detectado un compromiso.

También se corrige la vulnerabilidad crítica CVE-2026-20079

Paralelamente, Cisco actualizó el aviso correspondiente a CVE-2026-20079, una vulnerabilidad mucho más grave que alcanza la puntuación máxima de 10.0 sobre 10 en la escala CVSS.

Este fallo permite que un atacante remoto y no autenticado:

• Evada completamente la autenticación.
• Ejecute scripts arbitrarios.
• Ejecute comandos como usuario root.
• Tome control total del sistema.

Según Cisco, el problema se debe a un proceso del sistema creado incorrectamente durante el arranque del dispositivo.

A diferencia de CVE-2026-20316, esta vulnerabilidad no requiere credenciales estáticas ni acceso previo para ser explotada.

Cisco publicó inicialmente este aviso en marzo de 2026 y lo actualizó el 29 de julio para incluir:

• Nuevos Hotfixes.
• Un segundo identificador de error.
• Indicadores de compromiso adicionales.

Hasta ahora, Cisco asegura que no existen evidencias de explotación activa de CVE-2026-20079.

¿Están relacionadas ambas vulnerabilidades?

Uno de los aspectos que más inquieta a la comunidad de ciberseguridad es que Cisco publicó el mismo Indicador de Compromiso (IOC) en los avisos de ambas vulnerabilidades.

Sin embargo, la empresa no ha explicado si:

• Ambas vulnerabilidades forman parte de una misma cadena de ataque.
• Los atacantes utilizan CVE-2026-20079 junto con CVE-2026-20316.
• El IOC compartido fue incluido deliberadamente en ambos boletines.

Diversos especialistas consideran que esta coincidencia podría indicar una relación operativa entre ambos fallos, aunque actualmente no existe confirmación oficial.

Asimismo, el medio especializado BleepingComputer solicitó aclaraciones a Cisco respecto a esta situación, preguntando si CVE-2026-20079 también ha sido explotada y si ambas vulnerabilidades están vinculadas dentro de una misma campaña. Hasta el momento, la compañía no ha emitido una respuesta pública.

La importancia de aplicar los parches de inmediato

La confirmación de ataques de día cero convierte a CVE-2026-20316 en una de las vulnerabilidades más relevantes que afectan actualmente a infraestructuras protegidas con Cisco Secure Firewall Management Center. La posibilidad de acceder mediante credenciales estáticas integradas y combinar ese acceso con otros fallos para obtener privilegios elevados representa un riesgo significativo para organizaciones de todos los sectores.

Aunque Cisco ha reaccionado con rapidez publicando correcciones para todas las versiones afectadas, la ausencia de soluciones alternativas obliga a los administradores a implementar los Hotfixes cuanto antes, revisar exhaustivamente los registros del sistema y verificar la presencia del indicador /var/tmp/license.tmp. Mantener la interfaz de administración fuera del alcance de Internet, rotar credenciales en caso de compromiso y realizar auditorías periódicas de seguridad son medidas fundamentales para minimizar el impacto de estas amenazas y fortalecer la protección de la infraestructura corporativa.

Fuente: https://www.bleepingcomputer.com/