Cisco ha lanzado actualizaciones para abordar una falla de seguridad crítica en el Controlador de Gestión Integrado (IMC) que, si se explota con éxito, podría permitir que un atacante remoto no autenticado evite la autenticación y obtenga acceso al sistema con privilegios elevados.

La vulnerabilidad, registrada como CVE-2026-20093, tiene una puntuación CVSS de 9,8 de un máximo de 10,0.

«Esta vulnerabilidad se debe al manejo incorrecto de las solicitudes de cambio de contraseña», Cisco dicho en un aviso publicado el miércoles. «Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP diseñada a un dispositivo afectado».

«Un exploit exitoso podría permitir al atacante eludir la autenticación, alterar las contraseñas de cualquier usuario en el sistema, incluido un usuario administrador, y obtener acceso al sistema como ese usuario».

Al investigador de seguridad «jyh» se le atribuye el descubrimiento y el informe de la vulnerabilidad. La deficiencia afecta a los siguientes productos independientemente de la configuración del dispositivo:

• Sistemas informáticos de red empresarial (ENCS) serie 5000: corregido en 4.15.5
• uCPE Edge Catalyst serie 8300: corregido en 4.18.3
• Servidores en rack UCS C-Series M5 y M6 en modo independiente: corregido en 4.3 (2.260007), 4.3 (6.260017) y 6.0 (1.250174)
• Servidores UCS E-Series M3: corregido en 3.2.17
• Servidores UCS E-Series M6: corregido en 4.15.3

Otra vulnerabilidad crítica parcheada por Cisco afecta a Smart Software Manager On-Prem (SSM On-Prem), que podría permitir que un atacante remoto no autenticado ejecute comandos arbitrarios en el sistema operativo subyacente. La vulnerabilidad, CVE-2026-20160 (puntuación CVSS: 9,8), se debe a una exposición involuntaria de un servicio interno.

«Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud diseñada a la API del servicio expuesto», Cisco dicho. «Un exploit exitoso podría permitir al atacante ejecutar comandos en el sistema operativo subyacente con privilegios de nivel raíz».

Se han publicado parches para la falla en Cisco SSM On-Prem versión 9-202601. Cisco dijo que la vulnerabilidad fue descubierta internamente durante la resolución de un caso de soporte del Centro de Asistencia Técnica (TAC) de Cisco.

Si bien ninguna de las vulnerabilidades ha sido explotada en la naturaleza, los actores de amenazas han aprovechado una serie de fallas de seguridad recientemente reveladas en los productos de Cisco. A falta de una solución alternativa, se recomienda a los clientes que actualicen a la versión fija para una protección óptima.

Una falla de seguridad crítica recientemente revelada que afecta a Citrix NetScaler ADC y NetScaler Gateway está siendo testigo de una actividad de reconocimiento activa, según Cibernético desactivado y torre de vigilancia.

La vulnerabilidad, CVE-2026-3055 (Puntuación CVSS: 9,3), se refiere a un caso de validación de entrada insuficiente que provoca una sobrelectura de la memoria, que un atacante podría aprovechar para filtrar información potencialmente confidencial.

Según Citrix, la explotación exitosa de la falla depende de que el dispositivo esté configurado como proveedor de identidad SAML (SAML IDP).

«Ahora estamos observando la actividad de huellas dactilares del método de autenticación contra NetScaler ADC/Gateway en la naturaleza», dijo Defused Cyber ​​en una publicación en X. «Los atacantes están investigando /cgi/GetAuthMethods para enumerar los flujos de autenticación habilitados en nuestros honeypots Citrix».

Es probable que esto sea un intento por parte de los actores de amenazas de determinar si NetScaler ADC y NetScaler Gateway están realmente configurados como un IDP de SAML.

En una advertencia similar, watchTowr dijo que ha detectado un reconocimiento activo contra instancias de NetScaler en su red honeypot, lo que plantea la posibilidad de que la explotación en estado salvaje pueda ocurrir en cualquier momento.

«Las organizaciones que ejecutan versiones afectadas de Citrix NetScaler en configuraciones afectadas deben eliminar las herramientas y aplicar parches de inmediato», dijo la compañía. «Cuando el reconocimiento de los atacantes pase a la explotación activa, la ventana para responder se evaporará».

La vulnerabilidad afecta a NetScaler ADC y NetScaler Gateway versiones 14.1 anteriores a 14.1-66.59 y 13.1 anteriores a 13.1-62.23, así como a NetScaler ADC 13.1-FIPS y 13.1-NDcPP anteriores a 13.1-37.262.

En los últimos años, una serie de vulnerabilidades de seguridad que afectan a NetScaler han sido objeto de explotación activa en la naturaleza. Estos incluyen CVE-2023-4966 (Citrix Bleed), CVE-2025-5777 (Citrix Bleed 2), CVE-2025-6543 y CVE-2025-7775.

Por lo tanto, es crucial que los usuarios accedan rápidamente a las últimas actualizaciones lo antes posible para mantenerse protegidos, ya que no se trata de si, sino de cuándo.

Según Arctic Wolf, se sospecha que los actores de amenazas están explotando una falla de seguridad de máxima gravedad que afecta al dispositivo de administración de sistemas (SMA) Quest KACE.

La empresa de ciberseguridad dicho observó actividad maliciosa a partir de la semana del 9 de marzo de 2026 en entornos de clientes que es consistente con la explotación de CVE-2025-32975 en sistemas SMA sin parches expuestos a Internet. Actualmente no se sabe cuáles son los objetivos finales del ataque.

CVE-2025-32975 (puntuación CVSS: 10,0) se refiere a un vulnerabilidad de omisión de autenticación que permite a los atacantes hacerse pasar por usuarios legítimos sin credenciales válidas. La explotación exitosa de la falla podría facilitar la toma completa de las cuentas administrativas. Quest solucionó el problema en mayo de 2025.

En la actividad maliciosa detectada por Arctic Wolf, se cree que los actores de amenazas han utilizado la vulnerabilidad como arma para tomar el control de cuentas administrativas y ejecutar comandos remotos para eliminar cargas útiles codificadas en Base64 desde un servidor externo (216.126.225[.]156) mediante el comando curl.

Luego, los atacantes desconocidos procedieron a crear cuentas administrativas adicionales a través de «runkbot.exe«, un proceso en segundo plano asociado con el Agente SMA que se utiliza para ejecutar scripts y administrar instalaciones. También se detectaron modificaciones del Registro de Windows a través de un script de PowerShell para posibles cambios de persistencia o configuración del sistema.

Otras acciones emprendidas por los actores de amenazas se enumeran a continuación:

• Realización de recolección de credenciales utilizando Mimikatz.
• Realizar descubrimiento y reconocimiento enumerando los usuarios que han iniciado sesión y las cuentas de administrador, y ejecutando los comandos «net time» y «net group».
• Obtención de acceso del protocolo de escritorio remoto (RDP) a la infraestructura de respaldo (Veeam, Veritas) y controladores de dominio.

Para contrarrestar la amenaza, se recomienda a los administradores que apliquen las últimas actualizaciones y eviten exponer las instancias de SMA a Internet. El problema se solucionó en las versiones 13.0.385, 13.1.81, 13.2.183, 14.0.341 (parche 5) y 14.1.101 (parche 4).

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves agregado dos fallas de seguridad que afectan los productos de Hikvision y Rockwell Automation a sus vulnerabilidades explotadas conocidas (KEV) catálogo, citando evidencia de explotación activa.

Las vulnerabilidades de gravedad crítica se enumeran a continuación:

• CVE-2017-7921 (Puntuación CVSS: 9,8): una vulnerabilidad de autenticación inadecuada que afecta a múltiples productos Hikvision y que podría permitir a un usuario malintencionado escalar privilegios en el sistema y obtener acceso a información confidencial.
• CVE-2021-22681 (Puntuación CVSS: 9,8): una vulnerabilidad de credenciales insuficientemente protegidas que afecta a múltiples controladores Rockwell Automation Studio 5000 Logix Designer, RSLogix 5000 y Logix que podría permitir que un usuario no autorizado con acceso a la red del controlador omita el mecanismo de verificación y se autentique con él, así como también altere su configuración y/o código de aplicación.

La incorporación de CVE-2017-7921 al catálogo KEV se produce más de cuatro meses después de que SANS Internet Storm Center revelara que había detectado intentos de explotación contra cámaras Hikvision susceptibles a la falla. Sin embargo, no parece haber ningún informe público que describa los ataques que involucren a CVE-2021-22681.

A la luz de la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) actualizar a las últimas versiones de software compatibles antes del 26 de marzo de 2026, como parte de Directiva operativa vinculante (DBO) 22-01.

«Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal», dijo CISA.

«Aunque BOD 22-01 solo se aplica a las agencias FCEB, CISA insta encarecidamente a todas las organizaciones a reducir su exposición a ataques cibernéticos priorizando la remediación oportuna de las vulnerabilidades del Catálogo KEV como parte de su práctica de gestión de vulnerabilidades».