Cuando el panel que administra tus firewalls es el que está comprometido

Cisco confirmó explotación activa de un zero-day en Firewall Management Center. Es la segunda falla crítica del mismo panel en cuatro meses, y la ANCI ya había alertado a los operadores chilenos por la primera. El problema no es el firewall: es quien lo manda.

Qué pasó

Cisco confirmó públicamente la explotación activa de CVE-2026-20316 en su plataforma Secure Firewall Management Center, afectando también a instancias de Multi-Domain Security Management. Lo calificó como zero-day: explotado antes de contar con un parche disponible. Distribuyó hotfixes de emergencia y publicó un aviso con un indicador de compromiso concreto.

El mecanismo es incómodamente simple. La vulnerabilidad permite iniciar sesión en FMC usando credenciales estáticas asociadas a una cuenta de bajo privilegio, evitando el flujo de autenticación esperado. El atacante no necesita robar credenciales de administrador por phishing ni por fuerza bruta: la debilidad está en el propio mecanismo de autenticación del producto.

Una vez dentro, incluso con privilegios bajos, la superficie de escalamiento es amplia, porque el sistema centraliza funciones administrativas sensibles. Cisco no detalló públicamente si existe una cadena adicional para escalar, de modo que lo prudente es asumir el peor escenario hasta contar con más información.

El indicador de compromiso es la presencia del archivo /var/tmp/license.tmp en el servidor afectado. Conviene entender su límite: la ausencia del archivo no descarta el compromiso, porque un atacante con cierto nivel de sofisticación borra sus rastros después del acceso inicial.

Por qué importa acá

Firewall Management Center no administra un dispositivo. Es la plataforma centralizada desde la cual se administran políticas, reglas de acceso, segmentación y monitoreo de todos los firewalls Cisco de una organización.

Eso lo convierte en algo distinto de un activo más: es comparable a un directorio activo o a un sistema de gestión de identidades. Un atacante con acceso a FMC puede modificar reglas de firewall, abrir puertos, desactivar inspecciones de tráfico o crear reglas de exfiltración encubiertas. El sistema que existe para detectar el ataque pasa a ser la herramienta del ataque.

Cisco FMC tiene una base de instalación extensa en sectores regulados de Chile y la región: banca, telecomunicaciones, energía y organismos estatales que dependen de firewalls Cisco para su perímetro. Y la ventana entre la divulgación de una vulnerabilidad crítica y su explotación masiva automatizada suele reducirse a horas, porque los grupos de amenazas escanean internet en busca de instancias expuestas apenas se publica un aviso.

Bajo la Ley 21.663, los operadores de importancia vital deben reportar incidentes que comprometan la disponibilidad o integridad de sistemas esenciales dentro de plazos definidos. Un compromiso de FMC en una organización OIV es un incidente de alto impacto por definición, porque afecta directamente la capacidad de defensa. Y si el atacante alcanza datos personales protegidos por el firewall comprometido, entra además la Ley 21.719.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — La interfaz de gestion web de FMC es el punto de entrada en ambas vulnerabilidades.
• T1078 — Credenciales estaticas de una cuenta de bajo privilegio: acceso valido a ojos del sistema.
• T1562.004 — El objetivo real: abrir puertos y desactivar inspecciones desde el propio panel.
• T1562.008 — Manipular la auditoria del propio FMC para borrar el rastro del cambio.
• T1071 — Con reglas propias, el atacante define su canal de salida y este queda permitido.

/var/tmp/license.tmp

# Verificacion de compromiso en cada instancia de FMC. Ejecutar por CLI de expert mode.

# 1. El indicador publicado por Cisco. Su ausencia NO descarta compromiso.
ls -la /var/tmp/license.tmp 2>/dev/null && echo "HALLAZGO: indicador presente"

# 2. Archivos creados o modificados en /var/tmp en los ultimos 60 dias
find /var/tmp -type f -mtime -60 -printf '%TY-%Tm-%Td %TH:%TM  %s  %p\n' | sort

# 3. Sesiones administrativas: buscar cuentas de bajo privilegio operando como admin
grep -iE 'login|session' /var/log/action_queue.log 2>/dev/null | tail -100

# 4. Cambios de configuracion fuera de ventana de cambio autorizada
grep -iE 'policy|access.?rule|deploy' /var/log/action_queue.log 2>/dev/null | tail -100

# 5. Cuentas locales del sistema, buscando altas que nadie reconozca
cat /etc/passwd | awk -F: '$3 >= 1000 {print $1, $3, $6, $7}'

title: Cambio de politica en Cisco FMC fuera de ventana de cambio
id: 7e3c9a52-4b18-4d67-b02f-6a1d8f5c3e74
status: experimental
description: >
  El compromiso de FMC no se manifiesta como malware: se manifiesta como un cambio de
  regla que nadie pidio. Esta regla busca modificaciones de politica o despliegues
  ejecutados por cuentas de bajo privilegio o fuera del horario habitual.
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/08/01
logsource:
  product: cisco
  service: fmc
detection:
  cambio_de_politica:
    action|contains:
      - 'AccessPolicy'
      - 'PolicyDeploy'
      - 'NATPolicy'
      - 'PrefilterPolicy'
  cuentas_esperadas:
    user:
      - 'admin_red'
      - 'automatizacion_fw'
  condition: cambio_de_politica and not cuentas_esperadas
falsepositives:
  - Ajustar la lista cuentas_esperadas a los operadores reales de tu organizacion.
    Si esa lista no existe documentada, ese es el primer hallazgo.
level: high
tags:
  - attack.defense_evasion
  - attack.t1562.004

index=cisco sourcetype=cisco:fmc earliest=-90d
| eval accion = lower(coalesce(action, event_name, message_type))
| eval cambio_regla = if(match(accion, "(policy|access.?rule|deploy|nat)"), 1, 0)
| eval sesion_admin = if(match(accion, "(login|logon|session.?start)"), 1, 0)
| eval hora = strftime(_time, "%H")
| eval fuera_horario = if(hora < 7 OR hora > 20, 1, 0)
| where (cambio_regla=1 AND fuera_horario=1) OR sesion_admin=1
| stats count AS eventos, values(accion) AS acciones, values(src_ip) AS origenes,
        min(_time) AS primero, max(_time) AS ultimo by user
| convert ctime(primero) ctime(ultimo)
| sort - eventos

Fuentes

• ANCI / CSIRT NacionalAVC26-00390 — Cisco Secure Firewall Management Center, vulnerabilidad crítica (CVSS 10.0) · 2026-04-06
• MITRE ATT&CKT1562.004 — Impair Defenses: Disable or Modify System Firewall
• MITRE ATT&CKT1078 — Valid Accounts
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado