📋 Resumen

CVE-2026-20079 es una vulnerabilidad crítica en la interfaz web del software Cisco Secure Firewall Management Center (FMC).

Un atacante remoto no autenticado puede omitir la autenticación y ejecutar scripts arbitrarios con privilegios de root en el sistema operativo subyacente.

• ID CVE: CVE-2026-20079
• CWE: CWE-288 (Omisión de autenticación mediante una ruta o canal alternativo)
• Puntuación base CVSS v3.1: 10.0 (Crítico)
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Causa raíz: Un proceso del sistema creado incorrectamente en el arranque que permite que peticiones HTTP manipuladas omitan la autenticación.

---

🛠️ Impacto

• Explotación remota no autenticada
• Acceso root completo al dispositivo FMC
• Capacidad de ejecutar scripts y comandos arbitrarios
• Posible compromiso de los dispositivos gestionados Firewall Threat Defense (FTD) (Alcance: Cambiado)
• Pérdida total de confidencialidad, integridad y disponibilidad

Esta vulnerabilidad afecta al plano de gestión de la infraestructura de firewall local de Cisco, lo que la hace extremadamente peligrosa en entornos de producción.

---

🔍 Productos afectados

Vulnerables:

• Versiones de Cisco Secure Firewall Management Center (local):
  • 7.0.x (todas)
  • 7.1.x (todas)
  • 7.2.0 – 7.2.10.2
  • 7.3.0 – 7.3.1.2
  • 7.4.0 – 7.4.3
  • 7.6.0 – 7.6.3
  • 7.7.0 – 7.7.11

No afectados:

• FMC en la nube (cdFMC)
• Cisco Secure Firewall ASA Software
• Dispositivos Cisco Secure Firewall Threat Defense (FTD) (cuando no están gestionados por un FMC vulnerable)

---

✅ Versiones corregidas

Cisco ha publicado parches. Consulte el aviso oficial para conocer las versiones corregidas exactas por rama.

Recomendación: Actualice a la última versión corregida lo antes posible.

---

⚠️ Detalles de la explotación

Los atacantes pueden explotar esta vulnerabilidad enviando peticiones HTTP especialmente manipuladas a la interfaz web de FMC. El fallo se origina en un proceso de arranque mal configurado que crea una ruta de autenticación alternativa, permitiendo la ejecución no autenticada de scripts como root.

Exploits públicos de Prueba de Concepto (PoC) han aparecido poco después de la divulgación.

---

🛡️ Mitigación

1. Acción inmediata: Aplique el parche de seguridad proporcionado por Cisco.
2. No hay soluciones alternativas oficiales disponibles: el parcheo es la única mitigación.
3. Restrinja el acceso a la interfaz de gestión de FMC (use reglas de firewall, VPN o segmentación de confianza cero).
4. Supervise el tráfico HTTP sospechoso dirigido a la interfaz web de FMC.
5. Use la herramienta Software Checker de Cisco para verificar su versión.

Aviso de seguridad oficial de Cisco: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

---

📚 Referencias

• Página de detalles de NVD
• Aviso oficial de Cisco
• Vulnerabilidad relacionada: CVE-2026-20131 (Otro RCE crítico en el mismo producto)

---

📝 Notas

• Este repositorio es solo para fines de documentación, investigación y defensa.
• La explotación con intenciones maliciosas es ilegal y está firmemente desaconsejada.
• Siga siempre las prácticas de divulgación responsable.