Cisco Talos ha confirmado la explotación activa de dos vulnerabilidades en el software Cisco Secure Firewall Management Center (FMC). Grupos de hackers respaldados por estados y afiliados de ransomware están aprovechando estos fallos para obtener acceso de root, instalar malware y ejecutar ataques en redes corporativas, lo que representa uno de los incidentes de seguridad empresarial más graves del año.

Cisco Talos ha confirmado la explotación activa de dos vulnerabilidades que afectan al software Cisco Secure Firewall Management Center (FMC), donde grupos de hacking patrocinados por estados y un afiliado de ransomware están aprovechando estos fallos para obtener acceso de root, plantar malware y organizar ataques en redes empresariales.

Esta revelación marca uno de los incidentes de seguridad empresarial más graves del año, dado el papel del FMC como la consola central que tú y otros administradores utilizan para gestionar flotas de firewalls de Cisco.

Explotan fallo en el firewall de Cisco

El más peligroso de los dos errores, rastreado como CVE-2026-20079, tiene una puntuación CVSS perfecta de 10.0 y permite que un atacante remoto no autenticado evite completamente los controles de inicio de sesión.

El fallo proviene de un proceso de sistema incorrecto creado cuando un dispositivo FMC arranca; si el usuario legítimo nunca reclama la sesión resultante, un atacante puede secuestrarla y usarla para ejecutar scripts con privilegios de root sobre el sistema operativo subyacente.

Cisco parcheó el problema en marzo de 2026, pero confirmó el 9 de septiembre que su Equipo de Respuesta a Incidentes de Seguridad de Productos tuvo conocimiento del abuso en entornos reales a partir de agosto.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido desde entonces la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas, dando a las agencias federales hasta el 12 de septiembre para remediarlas.

El segundo fallo, CVE-2026-20316, tiene una calificación comparativamente modesta de 5.3 en la escala CVSS, pero proviene de credenciales estáticas hard-coded vinculadas a una cuenta de bajos privilegios que permiten a atacantes remotos iniciar sesión sin la autorización adecuada.

Por sí solo, el error ofrece un acceso limitado, pero Talos advierte que se vuelve mucho más peligroso cuando se encadena con la omisión de autenticación u otras vulnerabilidades de FMC para escalar privilegios. Cisco reveló y parcheó este problema a finales de julio de 2026, y la CISA lo añadió al catálogo KEV aproximadamente al mismo tiempo.

Los investigadores de Talos identificaron tres grupos separados de actividad post-compromiso, cada uno reflejando los objetivos de un actor de amenazas diferente, tal como se detalla en la revelación técnica de Cisco Talos.

El primero, designado como UAT-12197, explotó la omisión de autenticación para plantar una web shell basada en JSP dentro del directorio webroot de Tomcat del FMC, y luego la utilizó para soltar un ejecutor de comandos Java Archive llamado “cmd.jar” capaz de consultar la base de datos interna del dispositivo para robar credenciales de usuario almacenadas.

El segundo grupo, UAT-11823, se evalúa con alta confianza como un actor de amenaza persistente avanzada que coincide con el grupo Sandworm, vinculado al ejército ruso.

Este grupo encadenó ambos CVE, reemplazó un archivo de licencia legítimo con un paquete malicioso Makeself para establecer una shell inversa basada en Netcat, exfiltró configuraciones del dispositivo y, finalmente, desplegó una variante del malware Cyclops Blink, un implante modular previamente vinculado a las operaciones de botnet de Sandworm contra dispositivos de borde de red.

La variante de Cyclops Blink encontrada en sistemas FMC comprometidos admite persistencia mediante scripts init.d, resolución de comando y control DNS-over-HTTPS, recolección de credenciales, sniffing de paquetes y ejecución remota de comandos arbitrarios.

El tercer grupo, UAT-11988, se evalúa con alta confianza como un operador del ransomware Qilin que omitió por completo la vulnerabilidad de autenticación, iniciando sesión en su lugar a través del fallo de credenciales estáticas antes de utilizar las propias herramientas administrativas integradas del FMC.

El grupo recolectó credenciales de Active Directory y MySQL, mapeó controladores de dominio, servidores de archivos e infraestructura de Exchange, y luego se adentró más en las redes de las víctimas a través de LDAP, Kerberos, SMB, NetBIOS y WinRM utilizando un proxy SOCKS5 de Python y conexiones SSH inversas antes de desplegar eliminadores de antivirus y la carga útil del ransomware Qilin en endpoints seleccionados.

Grupo de Amenaza	Atribución y Capacidad	Mecanismo de Explotación	Técnicas Post-Compromiso y Carga Útil
UAT-12197	Actor de amenaza no atribuido	CVE-2026-20079 (Omisión de Auth)	Suelta web shell JSP y cmd.jar para consultar DB interna y recolectar credenciales
UAT-11823	Sandworm (Nexo GRU ruso)	Encadenamiento de CVE-2026-20079 y CVE-2026-20316	Troyaniza archivos de licencia, ejecuta shell Netcat y despliega Cyclops Blink
UAT-11988	Afiliado de ransomware Qilin	CVE-2026-20316 (Credenciales Estáticas)	Mapea AD/Exchange, construye túneles SOCKS5/SSH y ejecuta ransomware

Cisco y Talos instan a cada organización que utilice Secure FMC a aplicar inmediatamente los hotfixes ya publicados para CVE-2026-20079 y CVE-2026-20316, en lugar de esperar a un lanzamiento de endurecimiento más amplio programado para la semana del 14 de septiembre, que agrupará estas correcciones con parches adicionales descubiertos internamente.

Si eres un administrador y no puedes parchear inmediatamente, también deberías restringir que las interfaces de gestión de FMC estén expuestas a internet, ya que esto reduce significativamente la superficie de ataque para las tres campañas observadas.

Fuentes:
https://cybersecuritynews.com/cisco-firewall-root-access-flaw/