Cisco confirma explotación activa de la vulnerabilidad CVE-2026-20079 en Secure FMC
Una vulnerabilidad de bypass de autenticación con CVSS 10.0 en Cisco Secure Firewall Management Center está siendo usada en ataques activos, según el propio Cisco.
Cisco ha confirmado que la vulnerabilidad de máxima gravedad CVE-2026-20079, presente en el software Secure Firewall Management Center (FMC), está siendo explotada en ataques en curso. La falla permite a atacantes remotos no autenticados eludir la autenticación y ejecutar scripts con privilegios de root mediante peticiones HTTP manipuladas al interfaz web del dispositivo.
El CVSS base de la vulnerabilidad es 10.0. Cisco detectó actividad de explotación en agosto de 2026, aunque indicadores de compromiso (IOC) publicados en una actualización de julio sugieren que los ataques podrían haber comenzado antes. En la actualización de julio también se anunció otra vulnerabilidad, CVE-2026-20316, relacionada con credenciales estáticas de bajo privilegio, que ya había sido confirmada como explotada.
Ambas vulnerabilidades comparten los mismos hot‑fixes y los mismos IOCs, entre ellos una entrada de registro que muestra la ejecución del script /usr/local/sf/bin/package_info.pl /var/tmp/license.tmp. Cisco indica que, si se encuentra esa línea en /var/log/messages, el dispositivo podría haber sido comprometido.
Cisco ya ha lanzado parches para la versión en la nube de Security Cloud Control y para los productos on‑premise. No existen soluciones alternativas; la recomendación es actualizar inmediatamente a la versión más reciente del software. Los clientes que detecten los indicadores deben contactar al Cisco Technical Assistance Center (TAC) para recibir soporte, aunque la instalación del hot‑fix no recupera los sistemas ya comprometidos.
El 12 de septiembre de 2026, la Agencia de Seguridad de Cibernética e Infraestructura (CISA) incluyó CVE-2026-20079 en su catálogo de vulnerabilidades explotadas (KEV), obligando a las agencias federales a aplicar los parches antes de esa fecha.
Impacto para los administradores
- Urgencia de parcheo: la vulnerabilidad permite acceso total al dispositivo; cualquier retraso expone a los entornos a toma de control completa.
- Detección: monitorizar los logs del sistema en busca de la cadena
/var/tmp/license.tmpes la única señal de posible explotación conocida. - Procedimientos: tras aplicar el hot‑fix, se recomienda validar la integridad del dispositivo y, de ser posible, realizar una reinstalación limpia, ya que el atacante podría haber dejado persistencia.
La confirmación de explotación activa convierte a CVE-2026-20079 en una amenaza crítica para cualquier infraestructura que dependa de Cisco Secure FMC. Los equipos de seguridad deben priorizar la actualización y reforzar la monitorización de logs para evitar sorpresas.
