Cisco enfrenta vulnerabilidades críticas en IMC y SSM On Prem que podrían otorgar privilegios de administrador

Esta semana Cisco ha lanzado actualizaciones de seguridad para corregir varias vulnerabilidades de gravedad crítica y alta. Entre las más preocupantes figura una falla en el módulo de gestión integrada de sus servidores —el conocido Cisco IMC o CIMC— que permitiría a un atacante saltarse la autenticación y obtener privilegios de administrador en sistemas sin parchear.

El Cisco IMC es un componente físico alojado en la placa base de los servidores UCS C‑Series y E‑Series que ofrece gestión fuera de banda: permite controlar el hardware, acceder a la consola y administrar arranques incluso cuando el sistema operativo no está disponible. Sus interfaces incluyen una API XML, una interfaz web y una línea de comandos, lo que lo convierte en un punto crítico de control y, por tanto, en un objetivo atractivo para atacantes.

Identificada como CVE-2026-20093, la vulnerabilidad reside en cómo el IMC procesa las peticiones destinadas a cambiar contraseñas. Un atacante remoto, sin necesidad de autenticarse, podría enviar una solicitud HTTP manipulada al servicio afectado, provocar un fallo en el control del flujo de la operación y terminar modificando la contraseña de cualquier usuario del sistema. El resultado podría ser el acceso al equipo con credenciales administrativas.

En su boletín técnico, Cisco describe que la raíz del problema es un manejo incorrecto de las solicitudes de cambio de contraseña y advierte que, si el exploit tiene éxito, el atacante podría establecer nuevas credenciales para cuentas existentes y así acceder con el rol de ese usuario. La compañía no ha publicado, por ahora, pruebas de explotación en entornos reales ni código de prueba público, pero recomienda con urgencia actualizar a las versiones corregidas puesto que no existen soluciones temporales prácticas que mitiguen por completo el fallo; la única medida eficaz es instalar los parches oficiales. Puede consultar el aviso de Cisco aquí: Cisco Security Advisory.

Además de este problema en IMC, Cisco ha publicado correcciones para otra vulnerabilidad crítica en Smart Software Manager On‑Prem (SSM On‑Prem), registrada como CVE-2026-20160. En este caso, una petición especialmente construida hacia la API expuesta podría permitir a un atacante ejecutar código en el servidor afectado con privilegios de root. La combinación de vector de entrada accesible vía red y ejecución con privilegios elevados convierte este fallo en un riesgo de compromiso total de la plataforma si no se parchea.

El aviso llega en un contexto ya tenso: a principios de mes Cisco tuvo que corregir una vulnerabilidad de máxima severidad en su Secure Firewall Management Center (CVE-2026-20131) que fue explotada en ataques tipo zero‑day por el grupo Interlock. Ese mismo fallo fue incluido por la agencia estadounidense CISA en su catálogo de vulnerabilidades explotadas en la naturaleza, con instrucciones para que las agencias federales lo mitigaran con carácter prioritario en plazos muy cortos.

La suma de estas incidencias subraya dos realidades: primero, que las superficies de gestión fuera de banda son objetivos críticos y, segundo, que la cadena de desarrollo y los entornos internos también pueden verse comprometidos, complicando la respuesta. En informes posteriores se ha señalado que el entorno de desarrollo interno de Cisco sufrió un acceso no autorizado mediante credenciales vinculadas al incidente de la cadena de suministro de Trivy, lo que remarca la necesidad de revisar tanto actualizaciones de software como credenciales y procesos de control de acceso.

Si administras infraestructura con componentes afectados, la recomendación práctica es clara: planifica e instala las actualizaciones oficiales cuanto antes. Acompañando al parche, conviene reducir la exposición de los interfaces de gestión: restringir el acceso a redes de administración, usar listas de control de acceso, limitar las direcciones IP autorizadas y colocar los controles de gestión detrás de VPNs o redes separadas. Revisa los registros de acceso e integridad para detectar actividad inusual, cambia credenciales y rota claves si hay sospecha de compromiso, y asegúrate de que las políticas de acceso privilegiado y el registro de auditoría están activos y revisados.

Cisco mantiene los detalles técnicos y las imágenes de software afectadas en sus avisos de seguridad; es recomendable seguir las guías y notas específicas del fabricante antes de aplicar cambios en entornos de producción. Para profundizar, consulte la entrada de la NVD sobre el fallo de IMC (CVE-2026-20093), el aviso oficial de Cisco (Cisco Security Advisory) y la nota de CISA que recoge la inclusión de la otra vulnerabilidad explotada en su catálogo (CISA alert).

En definitiva, estamos ante recordatorios contundentes: los sistemas de gestión remota no deben exponerse sin las debidas protecciones, las actualizaciones críticas deben aplicarse con rapidez y la higiene de credenciales y de la cadena de suministro de software es tan importante como la calidad del propio parche. La seguridad operacional exige combinar parches puntuales con medidas de diseño y controles de acceso que limitan el impacto cuando algo falla.