CISA ha emitido una advertencia sobre una vulnerabilidad grave en el Cisco Secure Firewall Management Center (FMC), que está siendo explotada actualmente en ataques.

El fallo, identificado como CVE-2026-20316, afecta a la plataforma de gestión centralizada de Cisco para soluciones de firewall y podría permitir que atacantes remotos obtengan acceso sencillo a entornos de red sensibles.

El Cisco FMC, anteriormente conocido como Firepower Management Center, se utiliza ampliamente para gestionar políticas de firewall, eventos y configuraciones de detección de intrusiones en redes empresariales, lo que hace que esta vulnerabilidad sea particularmente significativa.

El problema surge de una contraseña embebida en el código (hard-coded) en el Cisco Secure Firewall Management Center. Esta debilidad entra en la categoría CWE-259, que se refiere al software distribuido con credenciales integradas que los usuarios no pueden cambiar o eliminar fácilmente.

En consecuencia, un atacante no autenticado, ya sea dentro de la red o a través de internet, podría iniciar sesión en una instancia de FMC afectada utilizando una cuenta de bajos privilegios sin necesidad de credenciales válidas.

Vulnerabilidad de Cisco Secure Firewall Management Explotada

Una vez dentro, el atacante podría acceder a datos de configuración sensibles, políticas de seguridad, registros de eventos y otra información que podría facilitar compromisos adicionales de los sistemas protegidos.

Aunque los informes actuales no han confirmado que el CVE-2026-20316 esté siendo explotado en campañas específicas de ransomware, CISA enfatiza que el impacto potencial es lo suficientemente grave como para requerir atención inmediata.

Dado que el FMC sirve como punto de control central para los despliegues de firewall, el acceso no autorizado podría permitir a los actores de amenazas debilitar las defensas, alterar las reglas de seguridad o recopilar inteligencia sobre la configuración de seguridad de una organización.

Este tipo de acceso es especialmente valioso en ataques de múltiples etapas, donde los adversarios primero obtienen un punto de apoyo con bajos privilegios y luego se mueven lateralmente o escalan privilegios utilizando la información recopilada de las plataformas de gestión.

CISA te insta a que las organizaciones prioricen la aplicación de las mitigaciones y parches proporcionados por el proveedor para el Cisco Secure Firewall Management Center.

De acuerdo con la BOD 26-04, CISA insta a las organizaciones a priorizar la corrección basada en el riesgo, evaluar las instancias de FMC expuestas a internet y aplicar las actualizaciones dentro de los plazos requeridos por la directiva.

Si no hay mitigaciones efectivas disponibles, CISA aconseja dejar de utilizar el producto para evitar la explotación del problema de la contraseña embebida.

Además, CISA recomienda seguir sus "Requisitos de Triaje Forense" para ayudar en la respuesta a incidentes en entornos donde se sospeche una explotación.

Esto incluye la recopilación de registros pertinentes, registros de acceso y datos de configuración de los dispositivos FMC afectados para determinar si se produjeron inicios de sesión no autorizados y a qué datos se pudo haber accedido.

Para despliegues alojados en la nube o híbridos que utilicen el Cisco Secure Firewall Management Center, las organizaciones también deben implementar cualquier guía específica de la nube en la BOD 26-04 para garantizar una protección coherente en todos los activos.

Desde una perspectiva de operaciones de seguridad, esta alerta resalta el riesgo continuo asociado con las credenciales embebidas en infraestructuras críticas y herramientas de seguridad.

Como defensor de la red, deberías revisar los registros de acceso en busca de inicios de sesión sospechosos, verificar que solo las cuentas autorizadas puedan acceder a la interfaz de FMC y restringir el acceso de gestión a redes administrativas de confianza siempre que sea posible.