Cisco ha lanzado actualizaciones de seguridad para corregir una vulnerabilidad de día cero que está siendo explotada activamente en el software Cisco Secure Firewall Management Center (FMC). Esta falla, identificada como CVE-2026-20316, se debe a la presencia de credenciales estáticas integradas en la interfaz web del FMC. Aunque posee una puntuación CVSS de 5.3, Cisco le ha asignado una calificación de impacto de seguridad alta debido a la posibilidad de que los atacantes combinen este fallo con otras técnicas para acceder a datos sensibles.

Cisco ha lanzado actualizaciones de seguridad para una vulnerabilidad de día cero que está siendo explotada activamente en el software Cisco Secure Firewall Management Center (FMC). Esta vulnerabilidad, identificada como CVE-2026-20316, surge debido a credenciales estáticas integradas en la interfaz web de FMC.

Aunque el fallo tiene una puntuación CVSS de 5.3, Cisco le ha asignado una Calificación de Impacto de Seguridad Alta porque los atacantes podrían combinarla con otras vulnerabilidades para obtener privilegios elevados. El problema se clasifica bajo CWE-259, que se refiere al uso de contraseñas estáticas o codificadas.

Un atacante remoto no autenticado puede explotar la CVE-2026-20316 iniciando sesión en un dispositivo FMC afectado utilizando la cuenta de bajos privilegios expuesta. Una explotación exitosa permite que el atacante acceda a datos sensibles asociados con esa cuenta.

Cisco señaló que la exposición de la interfaz de gestión afecta al riesgo general. Los sistemas FMC sin acceso público a internet tienen una superficie de ataque reducida; sin embargo, atacantes internos o sistemas comprometidos aún podrían atacarlos.

El Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT) tuvo conocimiento de la explotación activa en julio de 2026. La compañía te insta a aplicar los parches correctivos (hotfixes) disponibles de inmediato, ya que no existe una solución alternativa para esta vulnerabilidad.

Este problema afecta al software Cisco Secure FMC independientemente de la configuración del dispositivo. Cisco confirmó que Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software y Security Cloud Control no están afectados.

Puedes revisar los registros de FMC en busca de signos de una posible explotación. Cisco recomienda ejecutar el siguiente comando en modo experto:

cat /var/log/messages | grep license

Una entrada de registro que haga referencia a /var/tmp/license.tmp puede indicar que la vulnerabilidad ha sido explotada. Cisco proporcionó un ejemplo que muestra la cuenta www ejecutando la utilidad package_info.pl con este archivo temporal como argumento.

Si tu organización detecta actividad sospechosa, deberías contactar con el Centro de Asistencia Técnica de Cisco para obtener soporte en la recuperación. Cisco también recomienda rotar todas las credenciales de usuario, claves criptográficas y certificados almacenados en el dispositivo FMC afectado, ya que la explotación ha sido continua.

Cisco ha publicado parches correctivos para las versiones 7.0, 7.2, 7.4, 7.6, 7.7 y 10.0 del software FMC. Debes obtener la actualización adecuada desde el Centro de Software de Cisco y seguir las Notas de Lanzamiento de Hot Fix de Firepower durante el despliegue.

Tus equipos de seguridad deben restringir el acceso a las interfaces de gestión de FMC, eliminar la exposición directa a la internet pública, monitorear los registros de autenticación y del sistema, y revisar la plataforma en busca de actividad administrativa inusual. Aplicar el software corregido de Cisco es la única remediación completa para la CVE-2026-20316.

Fuentes:
https://cybersecuritynews.com/cisco-firewall-management-center-0-day/