Cisco parchea falla en la API REST de carga de trabajo segura CVSS 10.0 que permite el acceso a datos – CYBERDEFENSA.MX
admin Noticias, Trending
Cisco parchea falla en la API REST de carga de trabajo segura CVSS 10.0 que permite el acceso a datos – CYBERDEFENSA.MX

Cisco ha implementado actualizaciones para una falla de seguridad de máxima gravedad que afecta la carga de trabajo segura y que podría permitir que un atacante remoto no autenticado acceda a datos confidenciales.

Seguimiento como CVE-2026-20223 (Puntuación CVSS: 10.0), la vulnerabilidad surge de una validación y autenticación insuficientes al acceder a los puntos finales de la API REST.

«Un atacante podría aprovechar esta vulnerabilidad si puede enviar una solicitud API diseñada a un punto final afectado», Cisco dicho. «Un exploit exitoso podría permitir al atacante leer información confidencial y realizar cambios de configuración a través de los límites de los inquilinos con los privilegios del usuario administrador del sitio».

La deficiencia afecta al software Cisco Secure Workload Cluster en SaaS y en implementaciones locales, independientemente de la configuración del dispositivo. Cisco dijo que no existen soluciones alternativas para abordar la vulnerabilidad.

Ciberseguridad

El problema se ha solucionado en las siguientes versiones:

  • Cisco Secure Workload versión 3.9 y anteriores (migrar a una versión fija)
  • Cisco Secure Workload versión 3.10 (corregido en 3.10.8.3)
  • Cisco Secure Workload versión 4.0 (corregido en 4.0.3.17)

El especialista en equipos de redes dijo que encontró la vulnerabilidad durante las pruebas de seguridad internas y que no hay evidencia de que haya sido explotada en la naturaleza.

La divulgación se produce una semana después de que Cisco revelara que un actor de amenazas conocido como UAT-8616 había explotado otra falla de derivación de autenticación de máxima gravedad en el controlador Catalyst SD-WAN (CVE-2026-20182, puntuación CVSS: 10.0) para obtener acceso no autorizado a sistemas SD-WAN.

Exchange 0-Day, npm Worm, Fake AI Repo, Cisco Exploit and More – CYBERDEFENSA.MX
admin Noticias, Trending
Exchange 0-Day, npm Worm, Fake AI Repo, Cisco Exploit and More – CYBERDEFENSA.MX

Monday opens with a trust problem. A mail server flaw is under active use. A network control system was targeted. Trusted packages were poisoned. A fake model page pushed a stealer. Then came the familiar ransom claim: the data was returned and deleted.

The pattern is clear. One weak dependency can leak keys. One leaked key can open cloud access. One cloud foothold can become a production incident. AI is speeding up vulnerability discovery, attackers are moving quickly, and old exposure still keeps paying off.

Patch the quiet risks first. Let’s get into it.

⚡ Threat of the Week

On-Prem Microsoft Exchange Server Exploited in the Wild—Microsoft disclosed a security vulnerability impacting on-premise versions of Exchange Server, which has come under active exploitation in the wild. The vulnerability, tracked as CVE-2026-42897 (CVSS score: 8.1), has been described as a spoofing bug stemming from a cross-site scripting flaw. An anonymous researcher has been credited with discovering and reporting the issue. Microsoft is providing a temporary mitigation through its Exchange Emergency Mitigation Service, while it’s readying a permanent fix for the security defect. There are currently no details on how the vulnerability is being exploited, the identity of the threat actor behind the activity, or the scale of such efforts. It’s also unclear who the targets are and if any of those attacks were successful. 

🔔 Top News

  • Cisco Catalyst SD-WAN Controller Flaw Under Attack—A sophisticated threat actor tracked as UAT-8616 has been attributed to the exploitation of CVE-2026-20182, a critical authentication bypass in Cisco Catalyst SD-WAN Controller. «8616 performed similar post-compromise actions after successfully exploiting CVE-2026-20182, as was observed in the exploitation of CVE-2026-20127 by the same threat actor,» Cisco Talos said. «UAT-8616 attempted to add SSH keys, modify NETCONF configurations, and escalate to root privileges.» UAT-8616 is the same threat actor that was behind the weaponization of CVE-2026-20127 earlier this year to gain unauthorized access to SD-WAN systems. Cisco isn’t the only security vendor facing a barrage of attacks on its customers, but it is among the most heavily targeted, along with Fortinet and Ivanti. «For nation-state operators, a bug like this (as seen with the actively exploited CVE-2026-20127) is ideal for pre-positioning,» Rapid7 said. «They are usually not looking for a smash and grab. They want persistence. They want access that blends in. They want to sit in the right place long enough to observe, influence, and pivot when the time is right. An SD-WAN controller is a great place to do that, because it lives in the middle of trust relationships most organizations rarely question.»
  • Blast Radius of TeamPCP Attacks Expands—A new wave of the Mini Shai-Hulud campaign compromised dozens of TanStack npm packages as part of a broader supply chain attack worming through developer ecosystems, including packages tied to UiPath, Mistral AI, OpenSearch and PyPI. The activity has been attributed to TeamPCP, which has orchestrated a series of high-profile supply chain attacks targeting popular open-source projects in recent months. The goal is the same across all attack campaigns — use poisoned, open-source software to deploy stealer malware and harvest user credentials, API keys, SSH keys, and other secrets. TeamPCP is said to be weaponizing credentials and secrets obtained in the supply chain attacks to access organizations’ cloud infrastructure, not to mention turn into an initial access broker for follow-on attacks like ransomware by teaming up with other cybercrime groups. In some waves, the attackers used the Trufflehog scanner to validate those credentials. The escalating attacks show that TeamPCP prioritizes speed rather than subtlety and stealth. Supply chain attacks have become an increasingly serious concern because of the sheer scale at which trusted dependencies are reused. A single poisoned package can rapidly propagate into thousands of downstream applications, enterprise environments, and production systems. The development coincided with the compromise of the node-ipc package to distribute a stealer malware. It’s currently not known who is behind the attack. Since the library is a dependency for hundreds of other packages, which in turn could be dependencies for even more packages, the attack could have cascading consequences.
  • Apple and Google Roll Out Cross-Platform E2EE for RCS Messages—End-to-end encrypted (E2EE) Rich Communication Services (RCS) messaging is being rolled out in beta between iPhone and Android devices, closing one of the biggest interoperability gaps in mainstream mobile messaging. The feature is available to iPhone users on iOS 26.5 with supported carriers and to Android users on the latest version of Google Messages. Encrypted conversations are marked with a padlock icon in the chat interface. The wider rollout to iPadOS, macOS, and watchOS will follow in future software updates, Apple said. 
  • Instructure Reaches Ransom Agreement with ShinyHunters—Instructure, the developer of school information portal Canvas, said it struck a deal with the ShinyHunters group, which breached its systems, stole a massive amount of data, and disrupted thousands of schools that rely on the company’s software. The company did not say what it had given the threat actors in exchange for the destruction of the data, but it’s fair to say it likely made the controversial decision to make a ransom payment. The company said it also received «digital confirmation» that the hackers destroyed any remaining copies in the form of «shred logs.» In addition, the agreement included the return of the stolen data, assurances that affected customers would not be extorted, and a commitment that individual institutions would not need to engage with the threat actor. While it remains to be seen if the threat actors will keep their side of the bargain, it’s worth highlighting a key problem with paying a ransom: once attackers have a victim’s data, there is no guarantee it was not copied or shared with others. As of May 12, the listing for Instructure has been removed from the ShinyHunters’ data leak site. The group said: «The data is deleted, gone. The company and it’s [sic] customers will not further be targeted or contacted for payment by us.»
  • Fake Hugging Face Repository Delivers Stealer Malware—A malicious Hugging Face repository managed to take a spot in the platform’s trending list by impersonating OpenAI’s Privacy Filter open-weight model to deliver a Rust-based information stealer to Windows users. The project, named Open-OSS/privacy-filter, masqueraded as its legitimate counterpart, released by OpenAI late last month (openai/privacy-filter), including copying the entire description verbatim to trick unsuspecting users into downloading it. The description accompanying the fake model diverged from the legitimate project in one aspect: instructing users to run start.bat on Windows or execute python loader.py on Linux and macOS to deploy the stealer. Access to the malicious model has since been disabled by Hugging Face. The incident highlights how public AI model registries are emerging as a new software supply chain risk for enterprises, emphasizing why AI model supply chain security needs the same level of rigor as software supply chain security. It’s essential to verify publisher identity, check model card provenance, and scan for unexpected binary downloads.
  • OpenAI Announces Daybreak—OpenAI announced Daybreak, a new initiative based on its frontier large language models (LLMs) and its artificial intelligence (AI)-powered coding assistant, Codex, to help developers secure their software from the ground up. Like Anthropic’s Mythos and Project Glasswing, the initiative makes it possible to scan a codebase to identify flaws and fix them, triage vulnerability backlog and prioritize fixes by severity, impact, or exploitability, and automate vulnerability detection, validation and response. In a related development, Microsoft detailed its own AI-assisted vulnerability discovery system called MDASH, which orchestrates more than 100 specialized AI agents across multiple frontiers and distilled AI models to find vulnerabilities in the tech giant’s own codebases. MDASH is designed to run a structured pipeline that goes through distinct stages: preparation, scanning, validation, deduplication, and proof construction. The emergence of Daybreak and MDASH comes amid a spike in vulnerability discovery, mainly fueled by the use of AI tools. Five months into 2026, Microsoft has already patched more than 500 vulnerabilities in its software, a rate that could see the company break its own annual record for the most number of security fixes in a year. The U.K. National Cyber Security Centre (NCSC) has also warned organizations that they should prepare for a surge of software updates driven by AI-assisted vulnerability discovery. At this stage, access to these advanced tools is tightly controlled. OpenAI has framed the access controls as a response to the dual-use nature of the underlying technology. The same AI capabilities that allow defenders to identify vulnerabilities and accelerate remediation could be misused by bad actors. Per Google, hacking groups are already using AI models to boost the speed, scale, and sophistication of their attacks, as well as perform reconnaissance and build better malware. 

🔥 Trending CVEs

Bugs drop weekly, and the gap between a patch and an exploit is shrinking fast. These are the heavy hitters for the week: high-severity, widely used, or already being poked at in the wild.

Check the list, patch what you have, and hit the ones marked urgent first — CVE-2026-42945 (NGINX Plus and NGINX Open), CVE-2026-44112 (OpenClaw), CVE-2026-42897 (Microsoft Exchange Server), CVE-2026-41096 (Microsoft Windows DNS), CVE-2026-42826 (Microsoft Azure DevOps), CVE-2026-20182 (Cisco Catalyst SD-WAN Controller), CVE-2026-44338 (PraisonAI), CVE-2026-46300, CVE-2026-46333 (Linux Kernel), CVE-2026-45185 (Exim), CVE-2026-8043 (Ivanti Xtraction), CVE-2026-44277 (Fortinet FortiAuthenticator), CVE-2026-26083 (Fortinet FortiSandbox, FortiSandbox Cloud, and FortiSandbox PaaS), CVE-2026-34260, CVE-2026-34263 (SAP), CVE-2026-42231, CVE-2026-42232, CVE-2026-44791, CVE-2026-44789, CVE-2026-44790, CVE-2026-42236, CVE-2026-42230 (n8n), CVE-2026-6815 (Casdoor), CVE-2026-2291, CVE-2026-4890, CVE-2026-4891, CVE-2026-4892, CVE-2026-4893, CVE-2026-5172 (dnsmasq), CVE-2026-6787, CVE-2026-6788 (WatchGuard Agent on Windows), CVE-2026-23479, CVE‑2026‑25243, CVE-2026-25588, CVE‑2026‑25589 (Redis), CVE-2026-41002, CVE-2026-40982, CVE-2026-40981, CVE-2026-41713, CVE-2026-41712, CVE-2026-41705 (Spring), CVE-2026-6722 (PHP ext-soap), CVE-2026-43824 (Argo CD), CVE-2026-27174 (MajorDoMo), CVE-2026-25254, CVE-2026-25293 (Qualcomm), CVE-2026-28819, CVE-2026-43668, CVE-2026-28972 (Apple macOS), CVE-2026-44413 (JetBrains TeamCity), CVE-2026-42010, CVE-2026-33845, CVE-2026-42009, CVE-2026-33846, CVE-2026-1584 (GnuTLS), CVE-2026-30905, CVE-2026-30906 (Zoom), CVE-2026-4782, CVE-2026-4798 (Avada Builder plugin), CVE-2026-43898 (SandboxJS), CVE-2026-8509, CVE-2026-8510 (Google Chrome), CVE-2026-44578 (Next.js), CVE-2025-14177 (PHP), CVE-2026-33439 (OpenAM), CVE-2025-66335 (Apache Doris MCP), an authentication validation bypass in Apache Pinot MCP, and an information disclosure flaw in Alibaba RDS MCP.

🎥 Cybersecurity Webinars

  • AppSec Tools Blind to Lethal Chains: Code → Pipeline → Cloud Attacks: Your AppSec tools are drowning in alerts but completely blind to how real attackers breach you. Modern threats don’t exploit single bugs — they chain tiny weaknesses across code, pipelines, and cloud into lethal attack paths. Join the webinar to discover the 3 deadliest cross-lifecycle patterns from Wiz experts (ex-Okta/GitLab) and learn how to map & stop them.
  • AI is making DDoS attacks dangerously intelligent. Are you ready? AI is turning DDoS attacks into smart, adaptive weapons that scan weaknesses in real-time, mimic legit traffic, and dodge traditional defenses. With a 358% surge in incidents, it’s time to upgrade your strategy. Join the webinar to learn the latest tactics and how to defend effectively.

📰 Around the Cyber World

  • Flaw in Apple’s Memory Integrity Enforcement —Calif said it discovered a new way of circumventing Apple’s Memory Integrity Enforcement (MIE), a new hardware-assisted memory safety system, and achieved privilege escalation. The discovery was made possible while testing an early version of Anthropic’s Mythos Preview in April. «It’s the first public macOS kernel memory corruption exploit on M5 silicon, surviving MIE,» Calif said. «The exploit is a data-only kernel local privilege escalation chain targeting macOS 26.4.1 (25E253). It starts from an unprivileged local user, uses only normal system calls, and ends with a root shell. The implementation path involves two vulnerabilities and several techniques, targeting bare-metal M5 hardware with kernel MIE enabled.» Additional details are currently withheld to give Apple time to address the issues.
  • Mustang Panda Delivers Updated FDMTP Tool —A new campaign consistent with tradecraft associated with Mustang Panda has been observed targeting the Asia-Pacific and Japan (APJ) region to deliver an updated version of FDMTP using DLL side-loading. The malware is designed to connect to an external server and receive commands from the remote server, profile compromised hosts, and load additional plugins to handle scheduled tasks, manage Windows Registry persistence, or retrieve files or commands. The activity has been spotted since September 2025.
  • New Flaw in Burst Statistics Plugin Exploited —Threat actors are exploiting a critical flaw in the Burst Statistics WordPress plugin (CVE-2026-8181, CVSS score: 9.8), which «allows unauthenticated attackers who know a valid administrator username to fully impersonate that administrator for the duration of any REST API request, including WordPress core endpoints such as /wp-json/wp/v2/users, by supplying any arbitrary and incorrect password in a Basic Authentication header,» per Wordfence. An attacker could exploit this flaw to create a new administrator-level account with no prior authentication and seize control of the site. The plugin has over 200,000 installations. Wordfence said it has blocked thousands of attacks targeting this vulnerability.
  • CISA and Others Release Guidance to Strengthen AI Supply Chain —Multiple government cyber agencies issued a joint guidance to help public and private sector stakeholders improve transparency in their AI systems and supply chains. «A software bill of materials (SBOM) acts as an ‘ingredients list’ for software that better positions organizations to understand their supply chains and make risk-informed decisions about how to protect their critical systems,» the agencies said. «Because AI systems are software systems, these recommendations should be considered in addition to the general minimum elements for an SBOM.»
  • Stealer Malware Continues to Evolve —Cybersecurity researchers disclosed details of various new and emerging information stealers like Salat, Gremlin, and Reaper, the last of which is a new SHub macOS stealer variant that spoofs Apple, Google, and Microsoft across a multi-stage attack chain to steal credentials, exfiltrate business files, and establish persistent backdoor access. According to a report published by Flare.io last week, one in four infostealer victims has active access to corporate infrastructure: VPN credentials, SaaS sessions, cloud platforms. «One in six gaming-related infections involves a user with corporate infrastructure access,» it said. «16% of victims infected through gaming lures also held active credentials for VPNs, SaaS platforms, or cloud environments, creating a direct pipeline from personal device use to enterprise compromise.»
  • Flaws in myAudi Platform —Multiple security flaws have been discovered in the myAudi connected car platform, allowing anyone with knowledge of a vehicle’s VIN to add it to their account as a guest and access sensitive data. The leaked information included the embedded SIM’s IMEI and ICCID identifiers, the GPS location of the primary owner when they triggered a «honk & flash» command, and vehicle lock status. One of the identified issues has been fixed by Audi and CARIAD. 

🔧 Cybersecurity Tools

  • Rustinel → It is an open-source endpoint detection tool for Windows and Linux. It collects system activity using ETW on Windows and eBPF on Linux, checks events against Sigma rules, YARA rules, and IOCs, and writes alerts in ECS NDJSON format for use in SIEM or log pipelines. It is built for blue teams, detection engineers, researchers, and testing environments, not as a full replacement for commercial EDR.
  • Giskard → It is an open-source Python tool for testing and evaluating LLM agents and AI systems. It helps developers check whether an AI app behaves correctly, stays grounded in context, follows safety rules, and handles multi-turn conversations reliably. Its current version focuses on lightweight evaluation workflows, while related scanning and RAG evaluation features are still being developed or are available in older versions.
  • VanGuard → It is a cross-platform incident response toolkit for Windows and Linux that lets security teams collect evidence, run triage, perform threat hunting, capture memory, gather disk artifacts, manage Velociraptor workflows, and generate reports from a single portable binary without installation. It includes 28 pre-built investigation workflows, supports offline use, and tracks evidence with hashing, chain of custody, and audit logging.

Disclaimer: This is strictly for research and learning. It hasn’t been through a formal security audit, so don’t just blindly drop it into production. Read the code, break it in a sandbox first, and make sure whatever you’re doing stays on the right side of the law.

Conclusion

The message is simple: trust less, check more. Bad packages, fake pages, weak plugins, leaked keys, and old bugs all lead to the same place.

Patch first. Rotate keys. Review what you run in prod. That’s the work. That’s the recap.

Cisco zero-day bajo ataque continuo por parte de un grupo de amenazas persistentes
admin Latest
Cisco zero-day bajo ataque continuo por parte de un grupo de amenazas persistentes

Los atacantes volvieron una vez más a un objetivo común con una base de usuarios masiva al explotar una vulnerabilidad de día cero de gravedad máxima que afecta al controlador y administrador Cisco Catalyst SD-WAN.

El grupo de amenazas detrás del número «limitado» de ataques de los que Cisco tiene conocimiento hasta ahora también está vinculado a una serie de vulnerabilidades previamente reveladas en los firewalls y sistemas SD-WAN del proveedor, dijo la compañía en un aviso de amenaza Jueves.

La vulnerabilidad de omisión de autenticación: CVE-2026-20182 – tiene una calificación CVSS de 10 y “se comporta como una llave maestra”, escribió Douglas McKee, director de inteligencia de vulnerabilidades de Rapid7, en una publicación de blog.

«Un atacante puede presentarse ante el controlador como un enrutador de red confiable y, si el sistema acepta esa afirmación sin validarla adecuadamente, puede obtener el nivel más alto de acceso administrativo», agregó. «Esa es la versión de ciberseguridad de un truco mental Jedi».

Rapid7 descubrió e informó la vulnerabilidad a Cisco el 9 de marzo, y Cisco dijo que se dio cuenta de la explotación limitada de la vulnerabilidad a principios de este mes. el vendedor revelado y lanzado un parche para la vulnerabilidad el jueves, y la Agencia de Seguridad de Infraestructura y Ciberseguridad rápidamente agregó el defecto a su catálogo de vulnerabilidades explotadas conocidas.

Cisco no explicó lo que ocurrió durante ese período de dos meses. Sin embargo, la divulgación y advertencia de los investigadores marca otro desafío para los clientes de Cisco que se han enfrentado a una avalancha de vulnerabilidades explotadas activamente que afectan el software de red del proveedor desde finales de febrero.

Cisco no es el único proveedor de seguridad que enfrenta una avalancha de ataques contra sus clientes, pero se encuentra entre los más atacados. CISA ha añadido siete vulnerabilidades que afectan Cisco SD-WAN y firewalls a su catálogo de vulnerabilidades explotadas conocidas en menos de tres meses.

Los investigadores de Cisco Talos atribuyeron la última ronda de ataques de día cero a UAT-8616los mismos atacantes que explotaron un par de días cero separados en el software de red de Cisco durante al menos tres años antes de que la actividad fuera descubierta e informada en febrero.

La empresa, que describió la explotación del nuevo día cero como continua, una vez más se negó a responder preguntas sobre los orígenes o motivaciones del UAT-8616.

«Recomendamos encarecidamente a los clientes que apliquen las versiones de software fijas disponibles y sigan las instrucciones proporcionadas en los avisos y en el blog de Cisco Talos», dijo un portavoz de la compañía en un comunicado.

Los investigadores de Cisco Talos también advirtieron que UAT-8616 y al menos otros 10 grupos de amenazas se han encadenado y lograron una «explotación activa generalizada en la naturaleza de tres vulnerabilidades en la infraestructura Cisco Catalyst SD-WAN sin parches». La compañía reveló y lanzó previamente parches para las vulnerabilidades, incluido CVE-2026-20122, CVE-2026-20128 y CVE-2026-20133 — en febrero.

rapid7 lo dijo descubierto la última vulnerabilidad crítica de omisión de autenticación cuando estaba investigando CVE-2026-20127un día cero anterior que los Cinco Ojos identificaron y confirmaron como explotado activamente por UAT-8616 a finales de 2025. Las autoridades y Cisco esperaron al menos dos meses para revelar y parchear la vulnerabilidad, y compartir orientación de mitigación de emergencia.

Esa campaña, que comenzó al menos tres años antes, marcó la segunda serie de días cero explotados activamente en la tecnología de punta de Cisco en menos de un año. Ambas campañas llevaron a CISA a emitir directivas de emergencia meses después de que se detectaran los ataques por primera vez, y ambas oleadas de ataques estuvieron en marcha durante al menos un año antes de que fueran descubiertas.

El último día cero, que evita la autenticación en el mismo servicio de plano de control que CVE-2026-20127, no requiere credenciales ni conocimiento previo del entorno de destino para su explotación, dijo a CyberScoop Jonah Burgess, investigador senior de seguridad de Rapid7.

«Cisco confirmó que afecta a todos los tipos de implementación, incluidos los entornos locales, en la nube y FedRAMP. El controlador SD-WAN gestiona el enrutamiento y la política para toda la red superpuesta, por lo que un único controlador comprometido puede potencialmente darle al atacante influencia sobre cada sucursal, centro de datos y borde de la nube conectados a esa estructura», agregó Burgess.

Su colega en Rapid7, McKee, dijo que los atacantes se han vuelto muy buenos a la hora de convertir las debilidades de la infraestructura de la red central en operaciones de alto impacto.

«Comprometer el enrutador de una sucursal es útil. Comprometer el controlador que administra todo el patrimonio es una conversación muy diferente. Ahora estamos hablando de la capacidad de redirigir el tráfico, interceptar comunicaciones, impulsar configuraciones maliciosas o simplemente interrumpir la conectividad en toda la organización», escribió.

«Ésa es la verdadera paradoja aquí», añadió McKee. «La misma arquitectura que brinda a los defensores escala y simplicidad también puede brindarles a los atacantes un único punto de influencia catastrófica».

Matt Kapko

Escrito por Matt Kapko

Matt Kapko es reportero de CyberScoop. Su ámbito incluye delitos cibernéticos, ransomware, defectos de software y (mala) gestión de vulnerabilidades. El californiano de toda la vida comenzó su carrera periodística en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.

CISA agrega Cisco SD-WAN CVE-2026-20182 a KEV después de las vulnerabilidades de acceso de administrador – CYBERDEFENSA.MX
admin Noticias, Trending
CISA agrega Cisco SD-WAN CVE-2026-20182 a KEV después de las vulnerabilidades de acceso de administrador – CYBERDEFENSA.MX

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves agregado una vulnerabilidad recientemente revelada que afecta al controlador Cisco Catalyst SD-WAN en su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) solucionen el problema antes del 17 de mayo de 2026.

La vulnerabilidad es una omisión de autenticación crítica rastreada como CVE-2026-20182. Tiene una calificación de 10,0 en el sistema de puntuación CVSS, lo que indica gravedad máxima.

«El controlador y administrador Cisco Catalyst SD-WAN contienen una vulnerabilidad de omisión de autenticación que permite a un atacante remoto no autenticado omitir la autenticación y obtener privilegios administrativos en un sistema afectado», CISA dicho.

En un aviso separado, Cisco atribuido la explotación activa de CVE-2026-20182 con alta confianza en UAT-8616, el mismo grupo detrás de la militarización de CVE-2026-20127 para obtener acceso no autorizado a sistemas SD-WAN.

«UAT-8616 realizó acciones posteriores al compromiso similares después de explotar con éxito CVE-2026-20182, como se observó en la explotación de CVE-2026-20127 por parte del mismo actor de amenazas», dijo Cisco Talos. «UAT-8616 intentó agregar claves SSH, modificar configuraciones de NETCONF y escalar a privilegios de root».

Se evalúa que la infraestructura utilizada por UAT-8616 para llevar a cabo actividades de explotación y posteriores al compromiso se superpone con las redes Operational Relay Box (ORB), y la empresa de ciberseguridad también observa múltiples grupos de amenazas que explotan CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122 a partir de marzo de 2026.

Las tres vulnerabilidades, cuando se encadenan, pueden permitir que un atacante remoto no autenticado obtenga acceso no autorizado al dispositivo. Se agregaron al catálogo KEV de CISA el mes pasado.

Ciberseguridad

Se ha descubierto que la actividad aprovecha el código de explotación de prueba de concepto disponible públicamente para implementar shells web en sistemas pirateados, lo que permite a los operadores ejecutar comandos bash arbitrarios. Uno de esos shells web basados ​​en JavaServer Pages (JSP) recibió el nombre en código XenShell debido al uso de una PoC publicada por ZeroZenX Labs.

Al menos 10 grupos diferentes han sido vinculados a la explotación de las tres fallas:

  • Grupo 1 (Activo desde al menos el 6 de marzo de 2026), que implementa el shell web de Godzilla
  • Grupo 2 (Activo desde al menos el 10 de marzo de 2026), que implementa el shell web Behinder
  • Grupo 3 (Activo desde al menos el 4 de marzo de 2026), que implementa el shell web XenShell y una variante de Behinder
  • Grupo 4 (Activo desde al menos el 3 de marzo de 2026), que implementa una variante del webshell de Godzilla
  • Grupo 5 (Activo desde al menos el 13 de marzo de 2026), cuyo agente de malware compiló a partir del marco de trabajo de equipo rojo AdaptixC2.
  • Grupo 6 (Activo desde al menos el 5 de marzo de 2026), que implementa el marco de comando y control (C2) de Sliver
  • Grupo 7 (Activo desde al menos el 25 de marzo de 2026), que implementa un minero XMRig
  • Grupo 8 (Activo desde al menos el 10 de marzo de 2026), que despliega el KScan herramienta de mapeo de activos y puerta trasera basada en Nim que probablemente se base en nimplanta y viene con capacidades para realizar operaciones de archivos, ejecutar archivos usando bash y recopilar información del sistema
  • Grupo 9 (Activo desde al menos el 17 de marzo de 2026), que implementa un minero XMRig y una herramienta de tunelización y proxy basada en pares llamada gsocket
  • Grupo 10 (Activo desde al menos el 13 de marzo de 2026), que implementa un ladrón de credenciales que intenta obtener el volcado de hash de un usuario administrador, fragmentos de claves de tokens web JSON (JWT) que se utilizan para la autenticación de API REST y credenciales de AWS para vManage.

Cisco recomienda que los clientes sigan las pautas y recomendaciones descritas en los avisos para las vulnerabilidades antes mencionadas para proteger sus entornos.

Omisión de autenticación del controlador Cisco Catalyst SD-WAN explotada activamente para obtener acceso de administrador – CYBERDEFENSA.MX
admin Noticias, Trending
Omisión de autenticación del controlador Cisco Catalyst SD-WAN explotada activamente para obtener acceso de administrador – CYBERDEFENSA.MX

Cisco ha lanzado actualizaciones para abordar una falla de omisión de autenticación de máxima gravedad en el controlador Catalyst SD-WAN que, según dijo, ha sido explotada en ataques limitados.

La vulnerabilidad, rastreada como CVE-2026-20182tiene una puntuación CVSS de 10,0.

«Una vulnerabilidad en la autenticación de peering en Cisco Catalyst SD-WAN Controller, anteriormente SD-WAN vSmart, y Cisco Catalyst SD-WAN Manager, anteriormente SD-WAN vManage, podría permitir que un atacante remoto no autenticado evite la autenticación y obtenga privilegios administrativos en un sistema afectado», Cisco dicho.

El especialista en equipos de redes dijo que la falla se debe a un mal funcionamiento del mecanismo de autenticación de peering, que un atacante podría explotar enviando solicitudes manipuladas al sistema afectado.

Ciberseguridad

Un exploit exitoso podría permitir al atacante iniciar sesión en el controlador Cisco Catalyst SD-WAN como una cuenta de usuario interna, con altos privilegios y no root, y luego utilizarlo como arma para acceder a NETCONF y manipular la configuración de red para la estructura SD-WAN.

La vulnerabilidad afecta las siguientes implementaciones:

  • Implementación local
  • Cisco SD-WAN Cloud-Pro
  • Nube Cisco SD-WAN (administrada por Cisco)
  • Cisco SD-WAN para gobierno (FedRAMP)

Según Rapid7, que descubrió CVE-2026-20182, la deficiencia tiene sus ecos en CVE-2026-20127 (puntaje CVSS: 10.0), otra omisión de autenticación crítica que afecta al mismo componente. Se dice que este último ha sido explotado por un actor de amenazas llamado UAT-8616 desde al menos 2023.

«Esta nueva vulnerabilidad de omisión de autenticación afecta al servicio ‘vdaemon’ a través de DTLS (puerto UDP 12346), que es el mismo servicio que era vulnerable a CVE-2026-20127», dijeron los investigadores de Rapid7, Jonah Burgess y Stephen Fewer. dicho. «La nueva vulnerabilidad no es una omisión del parche CVE-2026-20127. Es un problema diferente ubicado en una parte similar de la pila de red ‘vdaemon’».

Dicho esto, el resultado final es el mismo: un atacante remoto no autenticado puede abusar de CVE-2026-20182 para convertirse en un par autenticado del dispositivo objetivo y realizar operaciones privilegiadas.

Ciberseguridad

Cisco, en su aviso, señaló que se dio cuenta de una «explotación limitada» de la falla en mayo de 2026, e instó a los clientes a aplicar las últimas actualizaciones lo antes posible.

La compañía también dijo que los sistemas Catalyst SD-WAN Controller a los que se puede acceder a través de Internet y que tienen puertos expuestos corren un mayor riesgo de verse comprometidos. Se recomienda a los clientes que auditen el archivo «/var/log/auth.log» en busca de entradas relacionadas con la clave pública aceptada para vmanage-admin de direcciones IP desconocidas o no autorizadas.

Otro indicador es la presencia de eventos de intercambio de tráfico sospechosos en los registros, incluidas conexiones de intercambio de tráfico no autorizadas que ocurren en momentos inesperados y se originan en direcciones IP no reconocidas, o involucran tipos de dispositivos que no son consistentes con la arquitectura del entorno.

La puerta trasera FIRESTARTER golpeó el dispositivo federal Cisco Firepower y sobrevive a los parches de seguridad – CYBERDEFENSA.MX
admin Noticias, Trending
La puerta trasera FIRESTARTER golpeó el dispositivo federal Cisco Firepower y sobrevive a los parches de seguridad – CYBERDEFENSA.MX

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha revelado que el dispositivo Cisco Firepower de una agencia civil federal anónima que ejecuta el software Adaptive Security Appliance (ASA) se vio comprometido en septiembre de 2025 con un malware llamado INICIO DEL FUEGO.

FIRESTARTER, según CISA y el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido, es juzgado ser una puerta trasera diseñada para acceso y control remotos. Se cree que se implementó como parte de una campaña «generalizada» orquestada por un actor de amenaza persistente avanzada (APT) para obtener acceso al firmware de Cisco Adaptive Security Appliance (ASA) mediante la explotación de fallas de seguridad ahora parcheadas, como:

  • CVE-2025-20333 (Puntuación CVSS: 9,9): una validación inadecuada de la vulnerabilidad de entrada proporcionada por el usuario que podría permitir que un atacante remoto autenticado con credenciales de usuario de VPN válidas ejecute código arbitrario como root en un dispositivo afectado mediante el envío de solicitudes HTTP diseñadas.
  • CVE-2025-20362 (Puntuación CVSS: 6,5): una validación inadecuada de la vulnerabilidad de entrada proporcionada por el usuario que podría permitir que un atacante remoto no autenticado acceda a puntos finales de URL restringidos sin autenticación mediante el envío de solicitudes HTTP diseñadas.

«FIRESTARTER puede persistir como una amenaza activa en dispositivos Cisco que ejecutan software ASA o Firepower Threat Defense (FTD), manteniendo la persistencia posterior a la aplicación de parches y permitiendo a los actores de amenazas volver a acceder a los dispositivos comprometidos sin volver a explotar las vulnerabilidades», dijeron las agencias.

En el incidente investigado, se descubrió que los actores de amenazas implementaron un conjunto de herramientas posteriores a la explotación llamado LINE VIPER que puede ejecutar comandos CLI, realizar capturas de paquetes, omitir la autenticación, autorización y contabilidad de VPN (AAA) para dispositivos actores, suprimir mensajes syslog, recopilar comandos CLI de usuarios y forzar un reinicio retrasado.

Ciberseguridad

El acceso elevado proporcionado por LINE VIPER sirvió como conducto para FIRESTARTER, que se implementó en el dispositivo Firepower antes del 25 de septiembre de 2025, lo que permitió a los actores de amenazas mantener un acceso continuo y regresar al dispositivo comprometido el mes pasado.

FIRESTARTER, un binario ELF de Linux, puede configurar la persistencia en el dispositivo y sobrevivir a las actualizaciones de firmware y reinicios del dispositivo a menos que se produzca un ciclo de encendido completo. El malware se aloja en la secuencia de inicio del dispositivo manipulando una lista de montaje de inicio, lo que garantiza que se reactiva automáticamente cada vez que el dispositivo se reinicia normalmente. Dejando a un lado la resistencia, también comparte cierto nivel de superposición con un kit de arranque previamente documentado denominado RayInitiator.

«FIRESTARTER intenta instalar un gancho, una forma de interceptar y modificar las operaciones normales, dentro de LINA, el motor central del dispositivo para el procesamiento de red y las funciones de seguridad», según el aviso. «Este gancho permite la ejecución de código shell arbitrario proporcionado por los actores APT, incluido el despliegue de LINE VIPER».

«Aunque los parches de Cisco abordaron CVE-2025-20333 y CVE-2025-20362, los dispositivos comprometidos antes de la aplicación del parche pueden seguir siendo vulnerables porque las actualizaciones de firmware no eliminan FIRESTARTER».

Cisco, que está rastreando la actividad de explotación asociada con las dos vulnerabilidades bajo el nombre de UAT4356 (también conocido como Storm-1849), descrito FIRESTARTER como puerta trasera que facilita la ejecución de shellcode arbitrario recibido por el proceso LINA al analizar solicitudes de autenticación WebVPN especialmente diseñadas que contienen un «paquete mágico».

Se desconocen los orígenes exactos de la actividad de la amenaza, aunque un análisis de la plataforma de gestión de superficies de ataque Censys en mayo de 2024 sugirió vínculos con China. UAT4356 se atribuyó por primera vez a una campaña llamada ArcaneDoor que explotaba dos fallas de día cero en los equipos de red de Cisco para entregar malware personalizado capaz de capturar el tráfico y el reconocimiento de la red.

«Para eliminar por completo el mecanismo de persistencia, Cisco recomienda encarecidamente volver a crear una imagen y actualizar el dispositivo», dijo Cisco. dicho. «En casos de compromiso confirmado en cualquier plataforma Cisco Secure ASA o FTD, todos los elementos de configuración del dispositivo deben considerarse no confiables».

Como medidas de mitigación hasta que se puedan realizar nuevas imágenes, la compañía recomienda que los clientes realicen un reinicio en frío para retirar el implante FIRESTARTER. «Los comandos CLI de apagar, reiniciar y recargar no eliminarán el implante malicioso persistente; se debe desconectar el cable de alimentación y volver a enchufarlo al dispositivo», agregó.

Los piratas informáticos chinos pasan de la infraestructura adquirida individualmente a las redes encubiertas

La divulgación se produce cuando Estados Unidos, el Reino Unido y varios socios internacionales liberado un aviso conjunto sobre redes a gran escala de enrutadores SOHO y dispositivos IoT comprometidos requisados ​​por actores de amenazas del nexo con China para disfrazar sus ataques de espionaje y complicar los esfuerzos de atribución.

Ciberseguridad

Grupos patrocinados por el estado como Volt Typhoon y Flax Typhoon han estado utilizando estas botnets, que consisten en enrutadores domésticos, cámaras de seguridad, grabadoras de video y otros dispositivos de IoT, para apuntar a sectores de infraestructura críticos y realizar ciberespionaje de una «manera negable, de bajo costo y bajo costo», según la alerta.

Lo que complica aún más las cosas es el hecho de que las redes se actualizan constantemente, sin mencionar que varios grupos de amenazas afiliados a China pueden usar la misma botnet al mismo tiempo, lo que dificulta que los defensores los identifiquen y bloqueen mediante listas de bloqueo de IP estáticas.

«Las redes encubiertas consisten principalmente en enrutadores SOHO comprometidos, pero también incorporan cualquier dispositivo vulnerable que puedan explotar a escala», dijeron las agencias. «Su tráfico será reenviado a través de múltiples dispositivos comprometidos, utilizados como nodos transversales, antes de salir de la red desde un nodo de salida, generalmente en la misma región geográfica que el objetivo».

Los hallazgos subrayan un patrón común observado en los ataques patrocinados por el estado: apuntar a dispositivos perimetrales de red pertenecientes a redes residenciales, empresariales y gubernamentales con el objetivo de convertirlos en un nodo proxy o interceptar datos y comunicaciones confidenciales.

Las agencias de EE. UU. y el Reino Unido advierten que los piratas informáticos se escondieron en los firewalls de Cisco mucho después de que se aplicaron los parches
admin Latest
Las agencias de EE. UU. y el Reino Unido advierten que los piratas informáticos se escondieron en los firewalls de Cisco mucho después de que se aplicaron los parches

Un grupo de piratas informáticos patrocinado por el estado ha implantado una puerta trasera personalizada en los dispositivos de seguridad de red de Cisco que puede sobrevivir a las actualizaciones de firmware y reinicios estándar, revelaron el jueves las autoridades de ciberseguridad de EE. UU. y Gran Bretaña, lo que marca una escalada significativa en una campaña que se ha dirigido a redes gubernamentales y de infraestructura crítica desde al menos finales de 2025.

La Agencia de Seguridad Cibernética y de Infraestructura y el Centro Nacional de Seguridad Cibernética del Reino Unido publicaron conjuntamente un informe de análisis de malware identificando la puerta trasera, cuyo nombre en código es Firestarter. La división de inteligencia de amenazas de Cisco, Talos, atribuyó el malware a un actor de amenazas al que rastrea como UAT-4356. La compañía atribuyó al mismo grupo a una campaña de espionaje de 2024 llamada ArcaneDoor, que se centró en comprometer los dispositivos del perímetro de la red.

CISA confirmó que descubrió Firestarter en el dispositivo Cisco Firepower de una agencia civil federal de EE. UU. después de identificar conexiones sospechosas a través de un monitoreo continuo de la red. El hallazgo provocó una directiva de emergencia actualizada emitido el jueves, que exige que todas las agencias civiles federales auditen su infraestructura de firewall Cisco y envíen instantáneas de la memoria del dispositivo para su análisis antes del viernes.

Una puerta trasera que dura más que los parches

La preocupación central que impulsa la directiva actualizada es la capacidad del grupo de ataque para persistir en los dispositivos comprometidos, incluso después de que las empresas aplicaron los parches de seguridad que Cisco lanzó en septiembre de 2025. Esos parches abordaron dos vulnerabilidades: CVE-2025-20333una falla de ejecución remota de código en el componente del servidor web VPN, y CVE-2025-20362una vulnerabilidad de acceso no autorizado, que UAT-4356 aprovechó para obtener la entrada inicial. Según CISA, los dispositivos comprometidos antes del parche aún pueden albergar el implante.

Firestarter permite a los atacantes lograr persistencia manipulando la lista de montaje de Cisco Service Platform, un archivo de configuración que gobierna qué programas se ejecutan durante la secuencia de inicio del dispositivo. Cuando el dispositivo recibe una señal de terminación o se reinicia, el malware se copia a sí mismo en una ubicación secundaria y reescribe la lista de montaje para restaurarse y reiniciarse después de que el sistema vuelva a estar en línea.

Fundamentalmente, un reinicio estándar del software no elimina el implante. Según CISA y Cisco, sólo un reinicio completo (desconectar físicamente el dispositivo de su fuente de alimentación) es suficiente para borrar el mecanismo de persistencia de la memoria.

A partir de ahí, el malware inyecta un código shell malicioso en LINA, el código central de red y firewall del software Adaptive Security Appliance y Firepower Threat Defense de Cisco. Una vez integrado, el malware intercepta un tipo específico de solicitud de red que normalmente se utiliza para la autenticación VPN. Cuando llega una solicitud que contiene una secuencia de activación oculta, ejecuta el código proporcionado por los atacantes, dándoles una puerta trasera al dispositivo.

Vínculos con la campaña en curso

Cisco Talos señaló que Firestarter comparte importantes similitudes técnicas con un implante previamente documentado llamado RayInitiator, lo que sugiere que las herramientas comparten un origen común o una historia de desarrollo dentro del arsenal de UAT-4356.

En el incidente de la agencia federal analizado por CISA, los atacantes primero implementaron un implante separado, llamado Line Viper, para obtener acceso a las configuraciones, credenciales y claves de cifrado del dispositivo. Firestarter se instaló poco después, antes de que se aplicaran los parches de Cisco de septiembre de 2025 a esos dispositivos específicos. Cuando la agencia parchó sus sistemas, Firestarter permaneció en los dispositivos y los actores lo usaron para volver a implementar Line Viper en marzo, casi seis meses después de la infracción inicial.

Cisco y CISA no atribuyeron los ataques de espionaje a un estado nacional específico, pero los investigadores de Censys dijeron anteriormente que encontraron evidencia convincente que indicaba una grupo de amenaza con sede en China estaba detrás de la campaña ArcaneDoor. Censys señaló que encontró evidencia de múltiples redes chinas importantes y software anticensura desarrollado en China durante su investigación sobre los ataques de principios de 2024.

La vulnerabilidad de persistencia afecta a una amplia gama de hardware de Cisco, incluidas las series Firepower 1000, 2100, 4100 y 9300, así como las series Secure Firewall 1200, 3100 y 4200.

Cisco ha lanzado software actualizado para abordar el mecanismo de persistencia, aunque la compañía recomienda encarecidamente volver a crear imágenes de los dispositivos afectados en lugar de depender únicamente de las actualizaciones de software cuando se sospecha que están comprometidos.

El incidente refleja un patrón que se observa cada vez más entre los piratas informáticos vinculados al estado: atacar los dispositivos de borde de la red en los que confían las organizaciones para hacer cumplir los límites de seguridad. Debido a que estos dispositivos se encuentran en el perímetro de las redes empresariales y gubernamentales, comprometerlos puede exponer el tráfico interno y dar a los atacantes una posición para interceptar credenciales y comunicaciones.

CISA reconoció que en el momento de la publicación se estaba explotando activamente las vulnerabilidades subyacentes.

Un portavoz de Cisco le dijo a CyberScoop que los clientes que necesiten asistencia deben comunicarse Asistencia Técnica Cisco para apoyo. CISA no respondió a una solicitud de comentarios.

Greg Otto

Escrito por Greg Otto

Greg Otto es el editor en jefe de CyberScoop y supervisa todo el contenido editorial del sitio web. Greg ha dirigido una cobertura de ciberseguridad que ha ganado varios premios, incluidos los de la Sociedad de Periodistas Profesionales y la Sociedad Estadounidense de Editores de Publicaciones Empresariales. Antes de unirse a Scoop News Group, Greg trabajó para Washington Business Journal, US News & World Report y WTOP Radio. Tiene una licenciatura en periodismo televisivo de la Universidad de Temple.

Cisco parchea cuatro servicios de identidad críticos y fallas de Webex que permiten la ejecución de código – CYBERDEFENSA.MX
admin Noticias, Trending
Cisco parchea cuatro servicios de identidad críticos y fallas de Webex que permiten la ejecución de código – CYBERDEFENSA.MX

Cisco ha anunciado parches para abordar cuatro fallas de seguridad críticas que afectan los servicios de identidad y los servicios Webex y que podrían resultar en la ejecución de código arbitrario y permitir que un atacante se haga pasar por cualquier usuario dentro del servicio.

Los detalles de las vulnerabilidades se encuentran a continuación:

  • CVE-2026-20184 (Puntuación CVSS: 9,8): una validación de certificado incorrecta en la integración del inicio de sesión único (SSO) con Control Hub en los servicios Webex que podría permitir que un atacante remoto no autenticado se haga pasar por cualquier usuario dentro del servicio y obtenga acceso no autorizado a los servicios legítimos de Cisco Webex.
  • CVE-2026-20147 (Puntuación CVSS: 9,9): una validación insuficiente de la vulnerabilidad de entrada proporcionada por el usuario en Identity Services Engine (ISE) y ISE Passive Identity Connector (ISE-PIC) que podría permitir a un atacante remoto autenticado en posesión de credenciales administrativas válidas lograr la ejecución remota de código mediante el envío de solicitudes HTTP diseñadas.
  • CVE-2026-20180 y CVE-2026-20186 (Puntuaciones CVSS: 9,9) – La validación insuficiente múltiple de las vulnerabilidades de entrada proporcionadas por el usuario en ISE podría permitir que un atacante remoto autenticado en posesión de credenciales de administrador de solo lectura ejecute comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado mediante el envío de solicitudes HTTP diseñadas.

«Un exploit exitoso podría permitir al atacante obtener acceso a nivel de usuario al sistema operativo subyacente y luego elevar los privilegios a root», dijo Cisco en un aviso para CVE-2026-20147, CVE-2026-20180 y CVE-2026-20186.

Ciberseguridad

«En implementaciones ISE de un solo nodo, la explotación exitosa de esta vulnerabilidad podría causar que el nodo ISE afectado deje de estar disponible, lo que resultaría en una condición de denegación de servicio (DoS). En esa condición, los puntos finales que aún no se han autenticado no podrían acceder a la red hasta que se restablezca el nodo».

CVE-2026-20184 no requiere ninguna acción por parte del cliente ya que está basado en la nube. Sin embargo, los clientes que utilizan SSO son aconsejado para cargar un nuevo certificado SAML de proveedor de identidad (IdP) en Control Hub. Las vulnerabilidades restantes se han solucionado en las siguientes versiones:

  • CVE-2026-20147
    • Versión Cisco ISE o ISE-PIC anterior a 3.1 (migrar a una versión fija)
    • Cisco ISE versión 3.1 (3.1 parche 11)
    • Cisco ISE versión 3.2 (3.2 parche 10)
    • Cisco ISE versión 3.3 (3.3 parche 11)
    • Cisco ISE versión 3.4 (3.4 parche 6)
    • Cisco ISE versión 3.5 (3.5 parche 3)
  • CVE-2026-20180 y CVE-2026-20186
    • Versión de Cisco ISE anterior a la 3.2 (migración a una versión fija)
    • Cisco ISE versión 3.2 (3.2 parche 8)
    • Cisco ISE versión 3.3 (3.3 parche 8)
    • Cisco ISE versión 3.4 (3.4 parche 4)
    • Cisco ISE versión 3.5 (no vulnerable)

Si bien Cisco señaló que no tiene conocimiento de que ninguna de estas deficiencias se esté explotando en la naturaleza, es esencial que los usuarios actualicen sus instancias a la última versión para una protección óptima.

Cisco parchea fallas 9.8 CVSS IMC y SSM que permiten comprometer el sistema remoto – CYBERDEFENSA.MX
admin Noticias, Trending
Cisco parchea fallas 9.8 CVSS IMC y SSM que permiten comprometer el sistema remoto – CYBERDEFENSA.MX

Cisco ha lanzado actualizaciones para abordar una falla de seguridad crítica en el Controlador de Gestión Integrado (IMC) que, si se explota con éxito, podría permitir que un atacante remoto no autenticado evite la autenticación y obtenga acceso al sistema con privilegios elevados.

La vulnerabilidad, registrada como CVE-2026-20093, tiene una puntuación CVSS de 9,8 de un máximo de 10,0.

«Esta vulnerabilidad se debe al manejo incorrecto de las solicitudes de cambio de contraseña», Cisco dicho en un aviso publicado el miércoles. «Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP diseñada a un dispositivo afectado».

«Un exploit exitoso podría permitir al atacante eludir la autenticación, alterar las contraseñas de cualquier usuario en el sistema, incluido un usuario administrador, y obtener acceso al sistema como ese usuario».

Ciberseguridad

Al investigador de seguridad «jyh» se le atribuye el descubrimiento y el informe de la vulnerabilidad. La deficiencia afecta a los siguientes productos independientemente de la configuración del dispositivo:

  • Sistemas informáticos de red empresarial (ENCS) serie 5000: corregido en 4.15.5
  • uCPE Edge Catalyst serie 8300: corregido en 4.18.3
  • Servidores en rack UCS C-Series M5 y M6 en modo independiente: corregido en 4.3 (2.260007), 4.3 (6.260017) y 6.0 (1.250174)
  • Servidores UCS E-Series M3: corregido en 3.2.17
  • Servidores UCS E-Series M6: corregido en 4.15.3

Otra vulnerabilidad crítica parcheada por Cisco afecta a Smart Software Manager On-Prem (SSM On-Prem), que podría permitir que un atacante remoto no autenticado ejecute comandos arbitrarios en el sistema operativo subyacente. La vulnerabilidad, CVE-2026-20160 (puntuación CVSS: 9,8), se debe a una exposición involuntaria de un servicio interno.

«Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud diseñada a la API del servicio expuesto», Cisco dicho. «Un exploit exitoso podría permitir al atacante ejecutar comandos en el sistema operativo subyacente con privilegios de nivel raíz».

Ciberseguridad

Se han publicado parches para la falla en Cisco SSM On-Prem versión 9-202601. Cisco dijo que la vulnerabilidad fue descubierta internamente durante la resolución de un caso de soporte del Centro de Asistencia Técnica (TAC) de Cisco.

Si bien ninguna de las vulnerabilidades ha sido explotada en la naturaleza, los actores de amenazas han aprovechado una serie de fallas de seguridad recientemente reveladas en los productos de Cisco. A falta de una solución alternativa, se recomienda a los clientes que actualicen a la versión fija para una protección óptima.

CISA advierte sobre Zimbra y vulnerabilidades de SharePoint; Cisco Zero-Day afectado por ataques de ransomware – CYBERDEFENSA.MX
admin Noticias, Trending
CISA advierte sobre Zimbra y vulnerabilidades de SharePoint; Cisco Zero-Day afectado por ataques de ransomware – CYBERDEFENSA.MX

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha instado a las agencias gubernamentales a aplicar parches para dos fallas de seguridad que afectan Suite de colaboración Synacor Zimbra (ZCS) y Microsoft Office SharePointafirmando que han sido explotados activamente en la naturaleza.

Las vulnerabilidades en cuestión son las siguientes:

  • CVE-2025-66376 (Puntuación CVSS: 7,2): una vulnerabilidad de secuencias de comandos entre sitios almacenadas en la interfaz de usuario clásica de ZCS, donde los atacantes podrían abusar de las directivas @import de hojas de estilo en cascada (CSS) en un mensaje de correo electrónico HTML. (Corregido en las versiones 10.0.18 y 10.1.13 en noviembre 2025)
  • CVE-2026-20963 (Puntuación CVSS: 8,8): una vulnerabilidad de deserialización de datos no confiables en Microsoft Office SharePoint que permite a un atacante no autorizado ejecutar código a través de una red. (Fijado en enero 2026)
Ciberseguridad

Actualmente no hay informes públicos que hagan referencia a la explotación de las fallas antes mencionadas, quién puede estar aprovechándolas y la escala de dichos esfuerzos. A la luz de la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen parches para CVE-2025-66376 antes del 1 de abril de 2026 y para CVE-2026-20963 antes del 23 de marzo de 2026.

La divulgación se produce cuando Amazon reveló que los actores de amenazas asociados con el ransomware Interlock han explotado una falla de seguridad de máxima gravedad que afecta el software de administración de firewall de Cisco (CVE-2026-20131, puntuación CVSS: 10.0) desde el 26 de enero de 2026, más de un mes antes de que se divulgara públicamente.

«Históricamente, Interlock se ha dirigido a sectores específicos donde la interrupción operativa crea la máxima presión para el pago», dijo Amazon. Estos sectores incluyen educación, ingeniería, arquitectura, construcción, manufactura, industria, atención médica y entidades gubernamentales.

El ataque destaca una vez más un patrón persistente de actores de amenazas que apuntan a dispositivos de red perimetrales de diferentes proveedores, incluidos Cisco, Fortinet, Ivanti y otros, para obtener acceso inicial a las redes de destino. El hecho de que CVE-2026-20131 se haya convertido en un arma de día cero muestra que los atacantes están invirtiendo tiempo y recursos para encontrar fallas previamente desconocidas que podrían otorgarles un acceso elevado.