Las credenciales estáticas y explotadas activamente de Cisco FMC Zero-Day podrían exponer datos confidenciales – CYBERDEFENSA.MX
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el miércoles agregado una falla de seguridad recientemente revelada que afecta el software Cisco Secure Firewall Management Center (FMC) a sus vulnerabilidades explotadas conocidas (KEV) catálogo, tras informes de explotación de día cero.
La vulnerabilidad, asignada CVE-2026-20316 (Puntuación CVSS: 5,3), podría permitir que un atacante remoto no autenticado inicie sesión en un dispositivo afectado utilizando una cuenta con pocos privilegios para acceder a datos confidenciales dentro de sistemas susceptibles.
«Esta vulnerabilidad se debe a la presencia de credenciales de usuario estáticas para una cuenta con pocos privilegios», Cisco dicho en una alerta publicada el miércoles. «Un atacante podría aprovechar esta vulnerabilidad utilizando la cuenta para iniciar sesión en un sistema afectado».
«Un exploit exitoso podría permitir al atacante iniciar sesión en el sistema afectado y acceder a datos confidenciales como usuario con pocos privilegios».
Cisco señaló que la superficie de ataque asociada con la vulnerabilidad se reduce si la interfaz de administración del FMC no tiene acceso público a Internet. La compañía de equipos de red también dijo que le está asignando una Clasificación de Impacto de Seguridad (SIR) de Alto en lugar de Medio debido al hecho de que se puede encadenar con otras vulnerabilidades del software Cisco Secure FMC para elevar los privilegios.
Al investigador de seguridad Jimi Sebree de Horizon3.ai se le atribuye el mérito de descubrir e informar la falla. Cisco también reconoció que fue explotado activamente a principios de este mes, aunque no reveló cuándo comenzaron los ataques, quién está detrás de ellos o cómo se explota la vulnerabilidad en estos esfuerzos.
El problema se ha solucionado en las siguientes versiones de revisión del software Cisco Secure FMC:
- 7.0 – Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
- 7.2 – Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
- 7.4 – Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
- 7.6 – Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
- 7.7 – Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
- 10.0 – Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar
Como indicadores de compromiso (IoC), Cisco insta a los clientes a utilizar el comando CLI «cat /var/log/messages | grep licenses» en modo experto. Si el resultado del comando incluye «/var/tmp/license.tmp», existe la posibilidad de que la vulnerabilidad haya sido explotada en el dispositivo Cisco Secure FMC.
root@firepower:/home/admin# cat /var/log/messages | grep license
Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm
En conjunto, Cisco ha actualizó su aviso para CVE-2026-20079 (puntaje CVSS: 10.0), una falla crítica de omisión de autenticación que afecta al software Cisco Secure FMC, para incluir una segunda ID de error («CSCwt95974»), los mismos indicadores de compromiso y correcciones urgentes.
Sin embargo, la compañía dijo que no tiene conocimiento de una explotación maliciosa de esta vulnerabilidad. Dado que CVE-2026-20079 permite la ejecución de archivos de script ejecutables arbitrarios para obtener acceso de root, la inclusión del mismo indicador /var/tmp/license.tmp indica que los actores de amenazas podrían posiblemente encadenar los dos fallos para la ejecución del código.
A la luz de la explotación activa, se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las correcciones antes del 1 de agosto de 2026.
