36 Días de Zero-Day: La Cronología que Nadie Quería Ver
El 26 de enero de 2026, el grupo de ransomware Interlock comprometió el primer firewall Cisco usando una vulnerabilidad que el mundo no sabía que existía. Cisco publicó el parche el 4 de marzo — 36 días después. Durante ese mes y pico, cualquier organización con Cisco Secure Firewall Management Center (FMC) expuesto a internet estaba potencialmente comprometida.
Fue el equipo de inteligencia de amenazas de Amazon quien detectó la campaña activa y alertó públicamente. El propio CISO de AWS, CJ Moses, confirmó el hallazgo. La vulnerabilidad es CVE-2026-20131 y su puntuación CVSS es 10.0 — el máximo posible.
No es una vulnerabilidad teórica. Es ransomware real, en infraestructura real, corriendo como root en el corazón de la red de sus víctimas.
Qué es CVE-2026-20131 y Por Qué el CVSS es 10.0
CVE-2026-20131 es una falla de ejecución remota de código (RCE) en la interfaz web de administración de Cisco Secure FMC. La interfaz procesa peticiones HTTP sin autenticación antes de deserializar objetos Java — un error de diseño clásico con consecuencias devastadoras.
El resultado: un atacante remoto, sin credenciales, puede ejecutar código arbitrario como root en el servidor FMC. Sin usuario. Sin contraseña. Sin necesidad de engañar a ningún empleado. Solo HTTP y conocimiento de la vulnerabilidad.
El CVSS 10.0 se justifica por tres razones:
- Vector de ataque: Red — explotable remotamente por internet
- Sin autenticación requerida — cualquiera puede intentarlo
- Impacto completo — confidencialidad, integridad y disponibilidad del sistema comprometidas al 100%
Cisco FMC es el cerebro de las redes empresariales que usan firewalls Cisco. Quien controla el FMC, controla la visibilidad y las políticas de seguridad de toda la red.
Cómo Opera Interlock Una Vez Dentro
Interlock no es un grupo nuevo ni amateur. Desde 2024 han atacado hospitales, municipios y empresas de manufactura. Su modus operandi con CVE-2026-20131 sigue un patrón documentado por Amazon Threat Intelligence:
- Reconocimiento: Escanean internet en busca de interfaces FMC accesibles (puerto 443/HTTPS). Herramientas como Shodan facilitan esto en minutos.
- Explotación: Lanzan el exploit RCE sin autenticación, obteniendo shell como root en el servidor FMC.
- Movimiento lateral: Desde el FMC con acceso root, pivotean hacia la red interna. Estudian la topología, identifican activos críticos, roban credenciales.
- Exfiltración: Extraen datos sensibles antes de cifrar — doble extorsión garantizada.
- Ransomware: Despliegan el payload. Cifran servidores, backups, y bases de datos.
El tiempo promedio entre compromiso inicial y despliegue de ransomware para Interlock es de 5-14 días. Silencioso, metódico, costoso.
Quién Está en Riesgo
Cisco Secure FMC es usado principalmente por empresas medianas y grandes, gobiernos e ISPs. Pero el riesgo se extiende:
- Empresas con Cisco Firepower: Si tienes firewalls Cisco Firepower (1000, 2100, 4100, 9300 series) o ASA con módulo Firepower, probablemente tengas un FMC.
- Proveedores de servicios gestionados (MSPs): Un FMC comprometido puede dar acceso a decenas de clientes simultáneamente.
- Cualquier FMC con interfaz de gestión expuesta a internet: Una mala práctica común que convierte esta vulnerabilidad en trivialmente explotable.
Shodan muestra miles de instancias FMC accesibles desde internet. Si la tuya es una de ellas y no aplicaste el parche de marzo, asume compromiso y actúa ahora.
Qué Hacer Ahora: 5 Pasos Inmediatos
No hay tiempo para planificación larga. Estos son los pasos urgentes:
- Verificar versión y parchear: El parche está disponible desde el 4 de marzo de 2026. Aplica la actualización a Cisco Secure FMC inmediatamente. Las versiones afectadas incluyen todas las anteriores al fix publicado en el advisory oficial de Cisco.
- Aislar la interfaz de gestión: La interfaz web del FMC nunca debería estar expuesta directamente a internet. Accede solo desde una red de gestión dedicada o VPN. Si está expuesta, desconéctala ahora mismo.
- Buscar indicadores de compromiso: Revisa logs del FMC desde el 26 de enero. Busca peticiones HTTP anómalas hacia la interfaz de administración, nuevos usuarios creados, cambios en políticas, o conexiones salientes inusuales.
- Auditar movimiento lateral: Si tienes indicios de compromiso, asume que el atacante pivotó a tu red interna. Revisa logs de Active Directory, accesos RDP, y transferencias de datos inusuales.
- Activar respuesta a incidentes: Si encontraste evidencia de intrusión, aísla los sistemas afectados, preserva los logs (no los borres), y contacta a especialistas en respuesta a incidentes. El tiempo de contención importa más que el tiempo de investigación en las primeras horas.
El Costo de Ignorar un CVSS 10.0
Los números son concretos: el ransomware promedio le costó a empresas medianas $1.85 millones en 2025 según IBM, incluyendo tiempo de inactividad, recuperación, y pérdida de negocio. Para los sectores que Interlock ha atacado —salud, manufactura, servicios— una semana sin sistemas operativos puede ser existencial.
La brecha de Marquis, divulgada esta semana, expuso los datos de 672,000 personas por un ataque de ransomware a su proveedor de software bancario. Una sola organización comprometida en la cadena de suministro expone a cientos de miles de clientes finales.
Parchear un sistema crítico toma horas. Recuperarse de ransomware toma semanas. La aritmética es sencilla.
Si quieres saber si tu infraestructura tiene exposiciones críticas como esta — FMC accesible, servicios mal configurados, superficies de ataque que no ves — en Sable hacemos ese análisis. También puedes revisar nuestro research sobre vulnerabilidades críticas en producción para entender cómo estos ataques escalan.