Tres grupos explotaron vulnerabilidades de Cisco Secure Firewall Management Center para robar credenciales, mantener acceso y preparar el cifrado de redes.
Actualizado el 11 de septiembre de 2026
Cisco confirmó la explotación activa de dos vulnerabilidades en Secure Firewall Management Center, la plataforma utilizada para administrar de manera centralizada firewalls, políticas de seguridad y otros componentes críticos de red.
Las investigaciones de Cisco Talos identificaron tres campañas independientes que aprovecharon los fallos CVE-2026-20079 y CVE-2026-20316. Entre los responsables aparecen un grupo de amenazas persistentes con herramientas relacionadas con Sandworm y operadores cuyas tácticas coinciden con las observadas en afiliados del ransomware Qilin.
La combinación convierte el incidente en algo más grave que la vulneración de un dispositivo perimetral. Obtener control del centro de administración puede permitir a un atacante conocer la arquitectura de la red, extraer configuraciones y credenciales, alterar políticas defensivas y avanzar hacia otros sistemas.
Un acceso directo al centro de administración del firewall
CVE-2026-20079 es una vulnerabilidad crítica de omisión de autenticación con una puntuación CVSS de 10 sobre 10. En sistemas sin actualizar, un atacante remoto no autenticado puede ejecutar código y alcanzar privilegios de administrador o root.
El segundo fallo, CVE-2026-20316, está relacionado con credenciales estáticas presentes en determinadas versiones de Secure FMC. Aunque recibió una puntuación CVSS inferior, de 5,3, Cisco advirtió que puede utilizarse junto con otras vulnerabilidades para ampliar el acceso inicial.
Los productos autogestionados requieren la intervención directa de sus administradores. Cisco indicó que las instancias correspondientes de su servicio administrado en la nube fueron actualizadas automáticamente.
La exposición pública de la interfaz de administración eleva el riesgo, pero una consola no accesible desde internet tampoco debe considerarse segura por defecto. Los atacantes pueden intentar alcanzarla desde otro equipo comprometido dentro de la organización.
Tres campañas con objetivos diferentes
Cisco Talos agrupó la actividad observada en tres conjuntos de intrusión, denominados UAT-12197, UAT-11823 y UAT-11988. Cada uno mostró objetivos y métodos distintos.
UAT-12197: persistencia y robo de credenciales
El primer grupo explotó CVE-2026-20079 para instalar mecanismos de acceso persistente, ejecutar comandos y extraer credenciales. La presencia de puertas traseras indica que instalar el parche no es suficiente cuando el sistema ya pudo haber sido comprometido.
UAT-11823: herramientas vinculadas con Sandworm
La segunda campaña combinó ambos fallos para establecer conexiones remotas, desplegar herramientas de proxy y extraer configuraciones del dispositivo. Los investigadores también encontraron una variante de Cyclops Blink, malware asociado anteriormente con operaciones del grupo Sandworm.
Talos evalúa con alta confianza que se trata de un actor de amenazas persistentes avanzadas. Sin embargo, la coincidencia de herramientas no equivale por sí sola a una atribución definitiva, por lo que la identidad y el patrocinio del responsable deben mantenerse como una valoración investigativa.
UAT-11988: preparación de un ataque de ransomware
El tercer grupo utilizó las credenciales asociadas con CVE-2026-20316 y abusó de funciones legítimas de la plataforma para reconocer el entorno, crear túneles y recolectar información de autenticación.
Los atacantes también prepararon una lista de sistemas que podían ser cifrados. Talos considera con alta confianza que se trataba de una operación de ransomware y señaló coincidencias con tácticas empleadas por afiliados de Qilin. La evidencia publicada no permite afirmar que todos los responsables pertenecieran directamente a ese grupo.
El riesgo se extiende más allá del dispositivo
Secure FMC ocupa una posición privilegiada dentro de la infraestructura. La plataforma concentra configuraciones de seguridad, información sobre dispositivos administrados, rutas de red y datos que pueden facilitar movimientos laterales.
Un atacante con acceso privilegiado podría estudiar las defensas de la organización antes de avanzar, identificar activos sensibles o modificar controles para reducir la posibilidad de detección. También podría utilizar las credenciales recuperadas para acceder a sistemas que no presentan directamente las vulnerabilidades de Cisco.
Por esta razón, el alcance del incidente no debe limitarse al servidor FMC. Las organizaciones afectadas necesitan evaluar todos los activos y cuentas que pudieron quedar expuestos a través de la consola.
Los hotfixes previenen nuevos ataques, pero no eliminan una intrusión existente
Cisco publicó correcciones para las ramas compatibles de Secure FMC y recomienda instalarlas de inmediato. La empresa también anunció una actualización consolidada de seguridad para la semana del 14 de septiembre.
Los hotfixes bloquean la explotación futura de las vulnerabilidades, pero no necesariamente eliminan puertas traseras, cuentas comprometidas u otros mecanismos de persistencia instalados antes de la actualización.
La incorporación de CVE-2026-20079 al catálogo de vulnerabilidades explotadas de CISA refuerza la urgencia. Las agencias federales civiles estadounidenses tienen como fecha límite el 12 de septiembre de 2026 para aplicar las medidas exigidas por la autoridad.
Qué deben hacer las organizaciones
- Identificar todas las instalaciones de Secure Firewall Management Center y confirmar sus versiones.
- Aplicar los hotfixes correspondientes sin esperar a la actualización consolidada.
- Evitar que la interfaz de administración sea accesible directamente desde internet.
- Revisar los indicadores de compromiso y los registros recomendados por Cisco.
- Comprobar la integridad del sistema y buscar mecanismos de persistencia.
- Analizar las configuraciones, credenciales y sistemas a los que la consola tenía acceso.
- Rotar las credenciales potencialmente expuestas, priorizando cuentas privilegiadas y técnicas.
- Contactar con Cisco TAC y activar el procedimiento de respuesta a incidentes ante cualquier indicio de compromiso.
Una investigación todavía abierta
Cisco no ha comunicado públicamente el número de organizaciones afectadas ni todos los sectores y países atacados. Tampoco está claro durante cuánto tiempo cada grupo mantuvo acceso antes de ser detectado.
La presencia simultánea de espionaje, persistencia y preparación de ransomware muestra el valor estratégico de las plataformas de administración de seguridad. Para los defensores, la prioridad no es solamente corregir la vulnerabilidad: también deben determinar si el atacante ya atravesó la puerta.
