flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Gravedad editorial: Crítica

Investigación · FlawOpen

Ataques al Cisco FMC: bypass de autenticación, Sandworm y Qilin

Cisco Talos documentó tres grupos de intrusión distintos contra Cisco Secure Firewall Management Center (FMC). La actividad incluyó un bypass de autenticación CVSS 10.0, un fallo separado de credenciales estáticas y rutas posteriores a la intrusión que van desde el robo de credenciales hasta Cyclops Blink y ransomware Qilin.^{[1], [2], [3]}

💡 Explicación en Lenguaje Sencillo (ELI5)

El administrador del firewall es la sala de control de muchas puertas de la red. Si alguien toma esa sala, puede robar las llaves, cambiar la vigilancia o usarla como ruta oculta para entrar al edificio. Talos observó que tres grupos usaron sistemas FMC comprometidos de maneras distintas; por eso hay que parchear el administrador e investigar lo ocurrido.^[1]

Conceptos Clave y Términos

Plano de administración: La interfaz y los servicios del FMC que administran los dispositivos de firewall. Una intrusión puede exponer credenciales y servir como pivote hacia las redes gestionadas.^{[1], [2]}
CVE-2026-20079 (CWE-288): Cisco clasifica este fallo como bypass de autenticación CVSS 10.0. Su aviso indica que un proceso del sistema creado durante el arranque puede permitir que un atacante remoto no autenticado ejecute scripts y obtenga acceso root.^[2]
CVE-2026-20316 (CWE-259): Un fallo distinto de credenciales estáticas, CVSS 5.3, permite iniciar sesión con una cuenta de bajo privilegio. Cisco dice que puede combinarse con otros fallos de FMC para elevar el impacto; no es el mismo fallo que CVE-2026-20079.^[3]
Grupo de intrusión: Conjunto rastreado de comportamientos relacionados posteriores a la intrusión. Talos separó tres grupos; no deben mezclarse sus accesos y resultados en una sola cadena universal.^[1]
Clasificación del impacto del incidente: La valoración editorial de FlawOpen es Crítica porque Cisco asigna CVSS 10,0 a CVE-2026-20079 y Talos documenta rutas posteriores al compromiso que llegaron a Cyclops Blink o al ransomware Qilin. Esta valoración del incidente no significa que CVE-2026-20316 sea Crítica; Cisco asigna CVSS 5,3 a esa falla distinta.^{[2], [1], [3]}

Mapeos de marcos

Referencia CWE para la debilidad descrita en esta guía: CWE-259 CWE-288
CISA KEV — añadido el 2026-09-09 — CVE-2026-20079

Cronología del Incidente

2026-03-04

Cisco divulgó CVE-2026-20079; CVE-2026-20316 se divulgó el 29 de julio.^{[2], [3]}

2026-07 a 2026-08

Cisco indicó después que PSIRT supo de explotación activa de CVE-2026-20316 en julio y de CVE-2026-20079 en agosto.^{[2], [3]}

2026-09-09

Talos describió tres grupos y sus distintas actividades posteriores a la intrusión.^[1]

2026-09-16

Cisco publicó versiones de hardening que corrigen ambas CVE y otros fallos hallados internamente.^{[4], [2], [3]}

Flujo de Ataque Paso a Paso

Paso 1

Dos fallos de acceso distintos

CVE-2026-20079 es un bypass de autenticación sin autenticar en la interfaz web que permite ejecutar scripts con acceso root. CVE-2026-20316 es una credencial estática para una cuenta de bajo privilegio. Algunas intrusiones combinaron ambos fallos, pero no son una sola vulnerabilidad.^{[2], [3]}

Paso 2

Talos rastreó tres grupos distintos

UAT-12197 usó CVE-2026-20079 e instaló un web shell y un ejecutor de comandos basado en JAR para obtener credenciales. UAT-11823 usó ambas CVE y desplegó herramientas de proxy/reverse shell y una variante de Cyclops Blink; Talos informa de solapamiento de herramientas con Sandworm.^{[1], [2], [3]}

Paso 3

La actividad de Qilin siguió otra ruta

Talos dice que UAT-11988 inició sesión con la falla de credenciales estáticas, hizo reconocimiento y robó credenciales, estableció túneles y desplegó ransomware Qilin en algunos endpoints. Talos evalúa con alta confianza que el grupo era un operador de ransomware.^{[1], [3]}

Paso 4

Parchee e investigue por separado

La comprobación de registros documentada por Cisco puede indicar una posible explotación. Una hotfix o versión de hardening bloquea futuras explotaciones, pero Cisco advierte que quizá no limpie un sistema ya comprometido; contacte a TAC si aparece el indicador.^{[2], [3], [4]}

Código Fuente: Vulnerable vs. Seguro

Este pequeño ejemplo en Python ilustra un límite de autorización; no es código de Cisco FMC ni una reconstrucción de las CVE. La forma vulnerable ejecuta una acción privilegiada sin comprobar identidad ni permiso; la forma protegida exige autenticación y autorización explícita de administración. Cisco describe CVE-2026-20079 únicamente como un proceso del sistema inadecuado creado al arrancar y no publica la implementación afectada ni el diff del parche. El ejemplo enseña el límite de control sin afirmar que reproduce código de Cisco.^{[2], [3]}

IMPLEMENTACIÓN VULNERABLE

def invoke_management_action(identity, action):
    return action.execute()

PARCHE SEGURO Y ROBUSTO

def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Lista de Verificación de Seguridad para Ingeniería

✓Actualice FMC local a la primera versión corregida de la rama indicada en los avisos actuales de Cisco. Use Cisco Software Checker para confirmar el producto, la plataforma y la versión exactos; las versiones de hardening también incluyen otras correcciones de seguridad.^{[2], [3], [5], [4]}
✓Para CVE-2026-20079, Cisco indica que su servicio SaaS Security Cloud Control Firewall Management estaba afectado, pero Cisco ya lo corrigió; para CVE-2026-20316, Cisco indica que Security Cloud Control no está afectado. Siga por separado las instrucciones de versiones corregidas para FMC local.^{[2], [3]}
✓No trate la restricción de red como un parche. Cisco indica que reduce la exposición cuando la interfaz de administración no es pública, pero no existe una solución alternativa para ninguna de las dos vulnerabilidades.^{[2], [3]}
✓En un dispositivo FMC, use la comprobación de registros documentada por Cisco en modo experto para package_info y license; una coincidencia con /var/tmp/license.tmp significa que pudo haber explotación, no que el compromiso esté probado.^{[2], [3], [1]}
✓Si aparece ese indicador u otra actividad sospechosa, conserve los registros y contacte a Cisco TAC para obtener instrucciones de recuperación. Cisco advierte que las hotfixes previenen futuras explotaciones, pero quizá no limpien un dispositivo comprometido.^{[2], [3], [1]}
✓Orientación operativa de FlawOpen: Revise el acceso al plano de administración y la telemetría de red externa en busca de uso inesperado de credenciales, nuevos servicios o archivos web, túneles y conexiones del administrador a hosts internos. Trate cada señal como una pista de investigación e incluya dispositivos gestionados y credenciales.