Los hackers explotan la falla crítica del firewall de Cisco para obtener acceso root e implementar malware

Cisco Talos ha confirmado la exploit activa de dos vulnerabilidades que afectan al software Cisco Secure Firewall Management Center (FMC), con grupos de piratería patrocinados por el estado y una filial de ransomware que aprovecha las fallas para aprovechar el acceso root, plantar malware y organizar ataques en las redes empresariales. La divulgación marca uno de los incidentes de seguridad empresarial más graves del año, dado el papel de FMC como administradores de la consola central para administrar las flotas de firewalls de Cisco.

Los hackers explotan la falla del firewall de Cisco El más peligroso de los dos errores, rastreado como CVE-2026-20079, tiene una puntuación CVSS perfecta de 10.0 y permite que un atacante remoto no autenticado eluda los controles de inicio de sesión por completo. La falla proviene de un proceso de sistema incorrecto creado cuando un dispositivo FMC se inicia; si la sesión resultante nunca es reclamada por un usuario legítimo, un atacante puede secuestrarla y usarla para ejecutar scripts con privilegios de root sobre el sistema operativo subyacente. La segunda falla, CVE-2026-20316, califica un 5,3 comparativamente modesto en la escala CVSS, pero se deriva de credenciales estáticas codificadas vinculadas a una cuenta de bajos privilegios que permite a los atacantes remotos iniciar sesión sin la autorización adecuada. Por sí solo, el error ofrece acceso limitado, pero Talos advierte que se vuelve mucho más peligroso cuando se encadena con la omisión de autenticación u otras vulnerabilidades de FMC para escalar privilegios.

Threat ClusterAttribution & CapabilityExploitation MechanismPost-Compromise Tradecraft & PayloadUAT-12197Unattributed threat actorCVE-2026-20079 (Auth Bypass)Drops JSP web shell and cmd.jar to query internal DB and harvest credentialsUAT-11823Sandworm (Russian Gru nexus)Chained CVE-2026-20079 & CVE-2026-20316Trojaniza archivos de licencia, ejecuta Netcat shell y despliega Cyclops BlinkUAT-11988Qilin ransomware affiliateCVE-2026-20316 (Static Credenciales)Mapea AD/Exchange, construye túneles SOCKS5/SSH y ejecuta ransomware Cisco y Talos instan a todas las organizaciones que ejecutan Secure FMC a aplicar las revisiones ya publicadas para CVE-2026-20079 y CVE-2026-20316 de inmediato en lugar de esperar una versión de endurecimiento más amplia programada para la semana del 14 de septiembre, que incluirá estas correcciones con parches adicionales descubiertos internamente. La publicación Hackers Exploit Critical Cisco Firewall Flaw to Gain Root Access and Deploy Malware apareció primero en Cyber Security News.

Consultar publicación original ↗