CISA suma CVE-2026-20316 al KEV de Cisco FMC

CISA incorporó el 29 de julio de 2026 la vulnerabilidad CVE-2026-20316 de Cisco Secure Firewall Management Center a su catálogo de Known Exploited Vulnerabilities, tras confirmar explotación activa. La agencia estadounidense también fijó para el 1 de agosto de 2026 el plazo de remediación para las organizaciones gubernamentales afectadas, de acuerdo con la información difundida por SecurityWeek y otros reportes técnicos.

Lo que corrigió Cisco

Cisco publicó el mismo día un aviso de seguridad sobre una falla de credenciales estáticas en Cisco Secure Firewall Management Center, que describe como un problema de "static credential". La compañía indicó que no existen workarounds para mitigar CVE-2026-20316 y que la solución pasa por aplicar las actualizaciones de software y hotfixes ya disponibles.

El fabricante liberó parches específicos para las versiones 7.0, 7.2, 7.4, 7.6, 7.7 y 10.0 del software FMC. MyTech-Blog agrega que Cisco también publicó hotfixes para varias ramas de Cisco Secure FMC, incluyendo 7.0, 7.2, 7.4, 7.6 y 7.7, en línea con el advisory oficial.

Explotación activa y alcance técnico

SecurityWeek informó que Cisco anunció los parches para esta vulnerabilidad mientras el fallo ya estaba siendo explotado activamente como un zero-day. The Hacker News señaló además que Cisco confirmó la explotación activa a principios de julio de 2026, sin precisar fecha exacta ni actores.

La descripción técnica coincide entre las fuentes consultadas. Tenable la registra como una vulnerabilidad de uso de credenciales estáticas de bajo privilegio que permite acceso no autenticado al interfaz web de FMC. Cisco, según el resumen técnico citado por MyTech-Blog, documenta un impacto bajo sobre la confidencialidad, sin habilitar por sí sola cambios de configuración ni ejecución de código. Aun así, f4n6.co.uk remarca que el fabricante la clasifica internamente con Security Impact Rating High, porque esas credenciales pueden combinarse con otras vulnerabilidades conocidas de FMC para escalar privilegios.

Indicadores y contexto de respuesta

The Hacker News indicó que Cisco ofreció un comando de diagnóstico específico, cat /var/log/messages | grep license, y que la presencia de la ruta /var/tmp/license.tmp puede considerarse un posible indicador de explotación en un dispositivo FMC. Cisco también atribuye el reporte inicial al investigador Jimi Sebree, de Horizon3.ai.

CISA, por su parte, publicó en X que CVE-2026-20316, descrita como un caso de "use of hard-coded password" en Cisco Secure Firewall Management Center, fue añadida al KEV e instó a aplicar las mitigaciones disponibles. WindowsForum vinculó esa inclusión con la Binding Operational Directive 26-04, que obliga a priorizar la remediación de vulnerabilidades KEV de alto riesgo en activos expuestos públicamente.

f4n6.co.uk amplía el alcance afectado con datos de CPE de NVD y menciona ramas como FMC 7.0.0 a 7.0.9, 7.2.0 a 7.2.11, 7.3.0 a 7.3.1.2 y 7.4.0 a 7.4.7. The Hacker News y BleepingComputer, citado por otras coberturas, coinciden en que el fallo fue usado en ataques zero-day para obtener acceso no autorizado a dispositivos FMC.