Tres grupos explotan dos fallas de Cisco FMC, una de severidad máxima, para robar credenciales y desplegar Qilin

UAT-11988, un operador de ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso. según Cisco Talos, entró a la consola de firewalls de una organización con una cuenta cuya contraseña viene fija en el software. Usó las propias herramientas del equipo para recorrer la red y terminó cifrando computadoras con Qilin. Talos, el equipo de inteligencia de amenazas de Cisco, lo informó el 9 de septiembre junto con otros dos grupos que explotan las mismas fallas, uno de ellos con herramientas en común con Sandworm, el grupo ruso respaldado por el Estado.

Tres grupos distintos explotan dos fallas de Cisco Secure Firewall Management Center (FMC), y una de ellas tiene la severidad máxima. FMC es la consola desde la que se administran los firewalls de Cisco, y quien la controla puede llevarse la configuración de los equipos que gestiona, como hizo uno de estos grupos.

Qué es la falla: dos entradas a la misma consola

La más grave, CVE-2026-20079, permite saltarse el inicio de sesión. Según el aviso de Cisco, un atacante remoto y sin credenciales puede enviar solicitudes web manipuladas a la interfaz de FMC, ejecutar scripts y obtener acceso root, es decir, el control total del sistema operativo del equipo. El origen es un proceso del sistema que se crea de forma incorrecta durante el arranque. Cisco le asignó un 10, el máximo, en el Sistema Común de Puntuación de Vulnerabilidades (CVSS).

La segunda, CVE-2026-20316, es más simple. El software trae credenciales fijas para una cuenta de bajos privilegios, y quien las use puede entrar por la interfaz web y ver datos sensibles. Su puntaje CVSS es de 5,3, pero Cisco la calificó como de severidad alta y no media porque puede combinarse con otras fallas de FMC para escalar privilegios.

A quién afecta: Secure FMC en cualquier configuración

Las dos fallas afectan a Cisco Secure FMC Software, sin importar cómo esté configurado. La primera también alcanzaba a Cisco Security Cloud Control Firewall Management, el servicio que Cisco ofrece en la nube, pero la empresa ya aplicó allí la corrección y los clientes no tienen que hacer nada. Según los avisos, no están afectados Firewall Device Manager, Secure Firewall Adaptive Security Appliance (ASA), Secure Firewall Threat Defense (FTD) ni Security Cloud Control. La falla de credenciales fijas tampoco afecta a la versión de FMC que se entrega desde la nube, llamada Cloud-Delivered FMC.

Cisco aclara que si la interfaz de administración de FMC no tiene acceso público desde internet, la superficie de ataque se reduce. Ninguna de las fuentes publicó cuántos equipos están expuestos.

Estado de explotación: tres grupos, tres objetivos

Estado: explotada, para las dos fallas, según Cisco Talos. En el caso de CVE-2026-20316, Cisco ya había informado en su aviso que supo de ataques activos en julio.

El primer grupo, al que Talos llama UAT-12197, usó CVE-2026-20079 para instalar una web shellPrograma malicioso instalado en un servidor web que permite a un atacante enviarle órdenes a distancia mediante solicitudes web y usarlo para colocar otros archivos. en el directorio del servidor web Tomcat del equipo. Con ella colocó un archivo cmd.jar que le permitió consultar las bases de datos internas y llevarse datos de autenticación y credenciales de los usuarios.

El segundo, UAT-11823, es según Talos un grupo APTGrupo de atacantes con muchos recursos, a menudo ligado a un Estado, que realiza campañas de espionaje prolongadas y dirigidas contra organizaciones específicas con herramientas propias. cuyas herramientas se superponen con las de Sandworm. Entró por cualquiera de las dos fallas, reemplazó el archivo license.tmp por una copia maliciosa y lo hizo ejecutar como root con package_info.pl, una utilidad legítima de Cisco, para abrir una conexión hacia sus propios servidores. Después recolectó las configuraciones de los equipos administrados y terminó instalando una variante de Cyclops Blink, una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. que Estados Unidos y el Reino Unido ya habían atribuido a Sandworm, capaz de robar credenciales y capturar el tráfico de la red.

El tercero, UAT-11988, es el operador del principio. Talos evalúa con alta confianza que sus métodos coinciden con los de los afiliados de Qilin. Entró con las credenciales fijas y se apoyó en herramientas legítimas que ya trae FMC, una técnica conocida como living off the land. Así juntó nombres de equipos, credenciales de cuentas de servicio de Active Directory y de MySQL, y un mapa de controladores de dominio, servidores de archivos y bases de datos. Montó un túnel hacia su propia infraestructura, desactivó antivirus con herramientas hechas a medida y desplegó Qilin en los equipos que eligió.

Antecedentes: las preguntas que quedaron de julio

CVE-2026-20079 no es nueva. Cisco la publicó el 4 de marzo, dentro de su paquete semestral de avisos de firewalls, y el 31 de julio actualizó el aviso con hotfixes e indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida.. Dos días antes, el 29 de julio, Cisco había publicado CVE-2026-20316 y avisado que ya se explotaba. Según The Hacker News, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la sumó a fines de julio a su catálogo de vulnerabilidades explotadas conocidas, conocido como KEV.

Los dos avisos compartían el mismo rastro, el archivo /var/tmp/license.tmp, pero Cisco no confirmaba que la falla de marzo también se estuviera explotando. BleepingComputer le preguntó entonces si las fallas estaban conectadas, y la empresa no respondió de forma directa: solo pidió instalar los hotfixes. El informe de Talos cierra esa duda, porque confirma que UAT-11823 explotó las dos y usó ese mismo archivo.

Qué hacer: aplicar los hotfixes y revisar los registros

Cisco y Talos piden aplicar cuanto antes los hotfixes que la empresa ya publicó para las dos fallas. No hay soluciones alternativas. Talos anunció para la semana siguiente una versión de refuerzo que reunirá esos hotfixes con correcciones de otras fallas detectadas internamente, pero recomienda no esperarla.

Para saber si un equipo ya fue atacado, los avisos de Cisco indican ejecutar en modo experto zgrep "package_info.*license" /var/log/messages* y buscar /var/tmp/license.tmp en la salida. Si aparece, la falla pudo haber sido explotada y hay que contactar de inmediato al Centro de Asistencia Técnica de Cisco (TAC). Los hotfixes solo evitan nuevas intrusiones y pueden no resolver un compromiso que ya ocurrió. Mientras tanto, conviene que la interfaz de administración de FMC no quede expuesta a internet, ya que Cisco señala que así se reduce la superficie de ataque.

Talos publicó además reglas de Snort, de la 66075 a la 66080 para CVE-2026-20079, la 66883 para CVE-2026-20316 y la 66960 y la 66961 para el malware, y dejó los indicadores de los tres grupos en su repositorio de GitHub.

Ficha técnica

• CVE-2026-20079: omisión de autenticación en la interfaz web de Secure FMC. CVSS 10,0, crítica, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. CWE-288. Aviso cisco-sa-onprem-fmc-authbypass-5JPp45V2, publicado el 4 de marzo de 2026: aviso de Cisco.
• CVE-2026-20316: credenciales estáticas de una cuenta de bajos privilegios. CVSS 5,3, severidad alta según Cisco, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N. CWE-259. Aviso cisco-sa-fmc-static-cred-BET3Cjh, publicado el 29 de julio de 2026: aviso de Cisco.
• Corrección: hotfixes de Cisco para las versiones afectadas de Secure FMC; versión de refuerzo anunciada por Talos para la semana siguiente.
• Catálogo KEV: CVE-2026-20316, fines de julio de 2026, según The Hacker News.
• Detección: indicador /var/tmp/license.tmp en los registros, reglas de Snort 66075 a 66080, 66883, 66960 y 66961, e informe de Talos.

Actualización (16 de septiembre de 2026): Cisco reemplazó los hotfixes por versiones de refuerzo (7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 y 10.1.0) y actualizó el aviso de CVE-2026-20079 para indicar explotación activa, según sus avisos; antes, el 11 de septiembre, The Hacker News informó que CISA sumó esa falla a su catálogo KEV.