Cisco Talos ha confirmado la explotación activa y coordinada de dos vulnerabilidades que afectan al software Cisco Secure Firewall Management Center (FMC). Dado el rol de FMC como consola central para la gestión de flotas de firewalls , este incidente representa un riesgo estructural masivo. Las fallas están siendo aprovechadas tanto por actores patrocinados por estados (incluidos nexos con el GRU ruso) como por operadores de ransomware para obtener acceso de administrador, instalar malware persistente y pivotar hacia las redes empresariales internas. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ya ha incluido estas vulnerabilidades en su catálogo KEV de explotación confirmada.
Análisis Técnico y Vectores de Riesgo
El vector principal es el CVE-2026-20079, un fallo con puntuación CVSS perfecta de 10.0. Esta vulnerabilidad permite que un atacante remoto no autenticado eludir por completo los controles de inicio de sesión. Se origina por un proceso defectuoso durante el arranque del dispositivo FMC; si la sesión resultante no es reclamada por un usuario legítimo, el atacante puede secuestrarla y ejecutar scripts con privilegios de root sobre el sistema operativo. El segundo vector, CVE-2026-20316 (CVSS 5.3), exponen credenciales estáticas codificadas de una cuenta de bajos privilegios, la cual se vuelve crítica al encadenarse con otras vulnerabilidades para escalar accesos.
La telemetría de inteligencia ha identificado tres clústeres de actividad maliciosa:
- UAT-12197 (No atribuido): Aprovechó el CVE-2026-20079 para instalar una webshell JSP ( home.jsp) y un ejecutor de comandos en Java ( cmd.jar), diseñado para consultar la base de datos interna y robar credenciales.
- UAT-11823 (Sandworm / APT Ruso): Encadenó ambas vulnerabilidades. Los atacantes troyanizaron archivos de licencia para establecer shells inversas con Netcat y desplegaron una variante del implante modular Cyclops Blink . Este malware facilita la recolección de credenciales, análisis de paquetes y mantiene el control a través de comunicaciones C2 por DNS-over-HTTPS (DoH).
- UAT-11988 (Filial Ransomware Qilin): Utilizó las credenciales estáticas (CVE-2026-20316) para evadir alertas, mapeando posteriormente la infraestructura interna (Active Directory, Exchange) mediante SMB y LDAP. Establecieron túneles SOCKS5 y SSH antes de implementar la carga útil del ransomware Qilin en los endpoints .
Plan de Mitigación Operativa y Respuesta
- Despliegue de Parches de Emergencia: Aplique de forma inmediata los parches correctivos ya publicados por Cisco para los CVE-2026-20079 y CVE-2026-20316. No se debe esperar a los paquetes de actualización acumulativos previstos para mediados de septiembre.
- Aislamiento de Interfaces de Gestión: Restringir rigurosamente el acceso a Internet de todas las interfaces de administración de FMC. El acceso debe limitarse a redes de gestión internas (OOB) oa través de VPN/Jump Servers con autenticación multifactor.
- Búsqueda Proactiva de Amenazas (Threat Hunting): Bloquear e investigar retrospectivamente los siguientes Indicadores de Compromiso (IoCs) en la infraestructura perimetral:
| Tipo | Indicador | Contexto / Grupo |
| Hash (SHA256) | b037f45e02a289325a1a5eb0d4db6a9fce9954fd0fdfd07162cb4eb2acbef77d | UAT-12197: home.jsp— Webshell |
| Hash (SHA256) | db491181ece3f319de6567ab6f6daa90c6879911cd890155e6b7d8cc7a1a8c8e | UAT-12197: cmd.jar— Ejecutor de comandos JAR |
| Hash (SHA256) | 6f98add5d1a7729192b6ad8491d85c505c64836f7881742d6b93bd8e3d2fe461 | UAT-11823: Muestra de malware Cyclops Blink |
| IP (C2 / Origen) | 89.34.96[.]56, 208.123.119[.]215,91.214.78[.]118 | UAT-11823 (Sandworm): Nodos C2 para shell inversa y Cyclops Blink |
| IP (Escáner) | 104.218.165[.]253 | UAT-11823: Sonda para escanear exposición al CVE-2026-20079 |
| PI (Origen) | 43.204.2[.]142 | UAT-11988 (Qilin): Nodo utilizado para ejecutar la cadena de ataque |
