Cisco ha revelado la explotación activa de dos vulnerabilidades corregidas recientemente en el software Secure Firewall Management Center. Según la información publicada, tres grupos de amenazas distintos vinculados al ransomware y a ataques patrocinados por Estados han utilizado estos fallos para robar credenciales y desplegar el ransomware Qilin, lo que convierte una plataforma de gestión expuesta en un riesgo de seguridad de máxima prioridad.
Qué ha revelado Cisco
Uno de los fallos, CVE-2026-20079, es una vulnerabilidad crítica de omisión de autenticación en la interfaz web de Secure Firewall Management Center. Podría permitir a un atacante remoto no autenticado eludir la autenticación, y Cisco informa de que los atacantes ya están explotando las dos vulnerabilidades corregidas en campañas reales.
La actividad revelada ilustra cómo varios grupos de amenazas pueden atacar la misma tecnología de gestión con objetivos distintos, como el robo de credenciales, el despliegue de ransomware o las operaciones patrocinadas por Estados.
Por qué los sistemas de gestión exigen una acción rápida
Los sistemas de gestión de firewalls ocupan una posición sensible, porque ayudan a los administradores a controlar la infraestructura de seguridad. Cuando una vulnerabilidad afecta a esa capa de gestión, los defensores necesitan determinar rápidamente qué sistemas están desplegados, qué versiones de software ejecutan y si la remediación se ha completado.
Las prioridades clave de la respuesta son:
Identificar cada instancia de Secure Firewall Management Center desplegada.
Comprobar las versiones de software y firmware frente a las indicaciones de seguridad vigentes de Cisco.
Aplicar los parches y las medidas de mitigación del fabricante que correspondan.
Revisar la actividad de acceso e investigar una posible exposición de credenciales.
Renovar las credenciales afectadas mediante un proceso aprobado.
Conservar el historial de configuración antes y después de la remediación.
Confirmar que el acceso de gestión expuesto a Internet está debidamente restringido.
De la alerta de vulnerabilidad a la remediación verificada
Un aviso de vulnerabilidad es solo el comienzo de la respuesta. Las organizaciones también necesitan una forma fiable de asociar la tecnología afectada con sus equipos reales, asignar el trabajo de remediación, hacer el seguimiento de los cambios y verificar que no queda expuesto ningún sistema olvidado.
Esto es especialmente importante en entornos multifabricante, donde los registros de equipos, la información de software, las copias de seguridad de configuración y los hallazgos de seguridad pueden estar dispersos en herramientas y hojas de cálculo distintas.
Cómo ayuda ConnectMyAssets
ConnectMyAssets ofrece una plataforma on-premise para gestionar los datos operativos necesarios durante incidentes como este, con todos los datos dentro del entorno de la organización.
La CMDB dinámica descubre automáticamente la infraestructura Cisco compatible y mantiene un inventario que los equipos pueden utilizar para localizar los equipos potencialmente afectados.
El seguimiento de CVE asocia la información de vulnerabilidades con cada equipo, lo que ayuda a priorizar los equipos que requieren investigación o remediación.
El seguimiento de fin de vida y fin de soporte señala los sistemas que quizá ya no dispongan de una vía de actualización viable con soporte del fabricante.
Copias de seguridad e historial registra las versiones de configuración con verificación SHA256, lo que ofrece a los equipos un registro trazable del antes y el después y una reversión en un clic para los cambios de configuración.
Automatización y ZTP permite un despliegue controlado de los cambios de configuración aprobados en la infraestructura gestionada.
El almacén de credenciales centraliza las credenciales utilizadas para la administración de la red, mientras que el bastión SSH ofrece un acceso administrativo auditado desde el navegador.
El motor de cumplimiento mide el entorno frente a marcos como NIS2, ISO 27001, PCI-DSS, CISA, NIST e HIPAA, lo que ayuda a vincular la actividad de remediación con requisitos de control más amplios.
Estas capacidades no sustituyen a los parches de Cisco ni a sus indicaciones de respuesta a incidentes. Ayudan a los equipos de red y de seguridad a determinar la exposición, coordinar la remediación, conservar evidencias de los cambios y verificar que los equipos gestionados afectados se han tratado.
Fuente: The Hacker News
