La vulnerabilidad del firewall de Cisco CVE-2026-20079 está siendo explotada por tres grupos distintos que roban credenciales y despliegan ransomware Qilin. Cisco Talos lo confirmó esta semana y, le adelanto, no se trata de una alerta más de firmware: hablamos de un bypass de autenticación crítico en Secure Firewall Management Center (FMC), con puertas abiertas para escalar hasta privilegios de root y moverse con calma por el dominio. He seguido a este tipo de actores durante años y pocas veces veo un fallo de gestión de firewalls con un menú tan completo de post-explotación.
CVE-2026-20079, la brecha que abrió la puerta a tres campañas paralelas
El aviso técnico de Cisco Talos describe tres clústeres de actividad post-compromiso sobre instancias de FMC. El primero que explota CVE-2026-20079 es el que más preocupa, pero el segundo y el tercero demuestran que esta campaña no es monocromo: hay cibercrimen organizado y también maquinaria estatal. La explotación de CVE-2026-20079 ya era actividad confirmada antes del parche. Y el segundo fallo, CVE-2026-20316, se encadena para elevar privilegios desde una cuenta de bajo nivel y acceder a datos sensibles.
El primer clúster, UAT-12197, es la puerta de entrada. Talos documenta la explotación de CVE-2026-20079 y la colocación de una web shell JSP en el directorio raíz del Tomcat del CSM. La web shell decodifica en Base64 un parámetro con nombre ‘F6C1F0E7’ que contiene la clase Java que debe cargarse en el proceso. Es un detalle técnico elegante, de manual: no necesitaron implantar un binario raro, se instalaron en el propio servidor web legítimo para interrogar la base de datos interna y recolectar credenciales.
La primera familia de artefactos incluye un ejecutor de comandos basado en JAR y la exfiltración de credenciales desde los sistemas comprometidos. La web shell JSP se alojó en la carpeta webroot de Tomcat, un cliente que administra los dispositivos firewall. Con esto, el atacante no necesita salir del perímetro: consulta la base de datos de usuarios, recopila material de autenticación y deja el camino preparado para una escalada silenciosa. Es tradecraft de intrusión persistente.
Tres clústeres, tres doctrinas: del web shell al ransomware Qilin
El segundo clúster, UAT-11823, es el que cruzó la línea hacia el espionaje estatal. Su conjunto de herramientas se solapa con Sandworm, el actor atribuido al GRU ruso que ya ejecutó NotPetya en 2017. Aquí la actividad incluye shells inversas con Netcat, robo de configuraciones y la instalación del malware modular ELF Cyclops Blink para persistencia, resolución DNS sobre HTTPS y captura de paquetes. El acceso inicial llegó mediante la explotación de CVE-2026-20079 o, en otros casos, mediante credenciales estáticas. Una vez dentro, los operadores reemplazaron el archivo license.tmp con una copia maliciosa mediante Makeself para abrir un túnel de mando y control.
La atribución técnica no se limita al ransomware: uno de los clústeres se solapa con la maquinaria de Sandworm.
El tercer clúster, UAT-11988, corresponde a los operadores de Qilin. Y, créame, no siempre necesitan una vulnerabilidad: el clúster de Qilin no necesita exploits sofisticados para entrar; en buena parte de los casos utiliza credenciales estáticas. Después llega el oficio del ransomware: reconocimiento de dominio, túneles reverse-SSH, proxies SOCKS5 y ejecutores de AV killers. En la fase final se reenvían los puertos LDAP (389), LDAPS (636), Kerberos (88), SMB (445), NETBIOS (135), y WinRM (5985). Talos documenta el uso de herramientas como impacket e Invoke-TheHash y de asesinos de antivirus hechos a medida, todo ello antes de desplegar el ransomware Qilin en los endpoints seleccionados.
Qilin aterriza en un firewall corporativo y usted no lo sabrá por una alarma, sino por la notificación de rescate.
Cisco recomienda aplicar de inmediato los hotfixes publicados y actualizar las reglas de detección mediante los Snort SID indicados en el aviso. Además, la agencia estadounidense CISA ha incluido CVE-2026-20079 en su catálogo de vulnerabilidades explotadas activamente (KEV); las agencias federales de Estados Unidos deben parchear antes del 12 de septiembre de 2026. CVE-2026-20316, por su parte, entró en ese catálogo a finales de julio.
Dossier Moncloa: Ojos en la Sombra
Lo veo así: hay una mezcla rara de cibercrimen y servicio de inteligencia que convierte este caso en una alerta de libro. El vector de amenaza es un ataque combinado de explotación de vulnerabilidad y credenciales estáticas; la fase final es un despliegue de ransomware, pero la coexistencia con tradecraft estatal deja la clasificación en una zona incómoda para cualquier CIRT. Si hablamos de vectores, esto es Ciberataque con doble finalidad: monetización para los operadores de Qilin y persistencia para el clúster que se solapa con Sandworm.
En el tablero de agencias, quien ataca son los tres clústeres documentados por Talos: UAT-12197, UAT-11823 y UAT-11988. Quien defiende, si hablamos de producto, es Cisco con su equipo de inteligencia; pero en el plano de la defensa nacional, la frontera entre cibercrimen y espionaje estatal se diluye aquí y eso obliga a los centros gubernamentales a intervenir. El CNI y el CCN-CERT no son víctimas directas de este incidente, pero sí observadores privilegiados: me consta que en el CCN-CERT se sigue muy de cerca la explotación de fallos en dispositivos de frontera porque en España hay miles de infraestructuras críticas colgadas de equipos similares. Terceros que miran: CISA en Estados Unidos, los equipos de los países Five Eyes y cualquier CERT europeo con sensores sobre actividad de Qilin en sus redes.
A juzgar por la naturaleza de lo exfiltrado en los clústeres primero y segundo —credenciales, configuraciones de dispositivos y datos de autenticación—, el nivel de clasificación estimado no llega a material clasificado en el sentido formal; diría que es Sensible, con picos de Confidencial si la víctima es una administración pública o un suministrador de servicios esenciales. Reconozco que la atribución en ciberguerra exige cautela: Oracle, Microsoft y la propia Casa Blanca se han equivocado otras veces al señalar a un actor estatal. El precedente que tengo más cerca es NotPetya, el falso ransomware que el GRU lanzó en 2017 y que rompió el sistema financiero ucraniano antes de salpicar al mundo. Con Sandworm otra vez en la conversación, prefiero esperar a que la telemetría confirme el solapamiento más allá de las firmas de herramientas compartidas.
Ya advertí en El quinto elemento que el próximo 11S empezará con un clic, y no hay mejor resumen para un fallo de autenticación que permite a tres actores pasear por un firewall corporativo sin que el equipo de seguridad vea nada. La próxima cita es dentro de 24 horas: las agencias federales estadounidenses deben haber parcheado CVE-2026-20079 antes del 12 de septiembre de 2026. Después llegarán los informes de telemetría de Talos y, con suerte, una lista más fina de indicadores para que los equipos españoles puedan cazar a tiempo a Qilin.
