Cisco lanza parches críticos para Webex e ISE: renueva certificados SAML y refuerza SSO para evitar interrupciones

Cisco ha publicado parches para cuatro vulnerabilidades clasificadas como críticas, entre ellas un fallo de validación de certificados en su plataforma cloud Webex Services que, aunque fue corregido por la compañía, obliga a los clientes a realizar una acción adicional para evitar interrupciones del servicio.

Webex Services es la plataforma de Cisco para comunicaciones y colaboración en entornos de trabajo híbrido. El problema más serio reportado esta semana está rastreado como CVE-2026-20184 y afecta a la integración de inicio único de sesión (SSO) con Control Hub, el panel en la nube que administra ajustes de Webex. En términos sencillos, una validación incorrecta de tokens permitía a un atacante remoto suplantar a cualquier usuario sin necesidad de privilegios previos, simplemente presentando un token manipulado en un endpoint de servicio. Puede leer la explicación oficial de Cisco en su aviso técnico aquí: Cisco Security Advisory – Webex.

Cisco indica que el servicio Webex ya fue actualizado en su lado, pero añade que las organizaciones que usan SSO deben subir un nuevo certificado SAML de su proveedor de identidad (IdP) a Control Hub para que la integración continúe funcionando correctamente y para evitar la posible interrupción del acceso. Las instrucciones paso a paso para realizar esta operación están en la documentación oficial de Webex: Gestionar la integración SSO en Control Hub.

Además del fallo en Webex, Cisco lanzó correcciones para tres vulnerabilidades críticas en la plataforma Identity Services Engine (ISE), catalogadas como CVE-2026-20147, CVE-2026-20180 y CVE-2026-20186. Estas vulnerabilidades permiten la ejecución de comandos arbitrarios en el sistema operativo subyacente, pero requieren que el atacante ya disponga de credenciales administrativas en el equipo objetivo. Aunque el requisito de credenciales eleva la barrera de entrada, el riesgo sigue siendo alto en entornos donde las cuentas de administrador no están estrictamente controladas.

Cisco también señala que, en la tanda de actualizaciones publicada esta semana, se abordaron una docena de fallos adicionales, incluyendo alrededor de diez vulnerabilidades de severidad media que podrían permitir eludir autenticaciones, escalar privilegios o provocar denegaciones de servicio. La lista completa de avisos está disponible en el repositorio público de Cisco: Publicaciones de seguridad de Cisco. De momento, el equipo PSIRT de Cisco no ha encontrado indicios de explotación activa de estas fallas en ataques reales.

Este conjunto de parches llega en un contexto en el que las vulnerabilidades de Cisco han sido objetivo de campañas de explotación en meses recientes. El mes pasado, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) emitió una orden para que las agencias federales parchearan con urgencia una vulnerabilidad de máxima severidad en el Secure Firewall Management Center (CVE-2026-20131), que había sido usada como zero-day en ataques con el ransomware Interlock. Para más contexto sobre vulnerabilidades explotadas y acciones de respuesta del gobierno, puede consultarse el catálogo de vulnerabilidades explotadas por actores conocidos mantenido por CISA: Known Exploited Vulnerabilities Catalog (CISA), así como la entrada del NVD para esa CVE: CVE-2026-20131 (NVD).

¿Qué deberían hacer los responsables de seguridad y administradores ahora mismo? Primero, aplicar los parches que publica Cisco tan pronto como sea posible, dando prioridad a los sistemas expuestos y a las plataformas de autenticación centralizada. En el caso concreto de Webex con SSO, además de aplicar la corrección en la plataforma, es imprescindible seguir la guía de Cisco y subir el nuevo certificado SAML del IdP a Control Hub. Antes de hacerlo en producción, conviene probar la actualización en un entorno controlado y coordinar ventanas de mantenimiento para minimizar el impacto en usuarios finales.

Para las instalaciones de ISE, aunque la explotación remota requiere credenciales administrativas, la recomendación sigue siendo urgente: parchear, revisar las cuentas con privilegios, reforzar el acceso administrativo con autenticación multifactor y registros de auditoría, y segmentar la gestión de sistemas críticos para reducir la superficie de ataque. También es buena práctica auditar logs por actividad inusual y revisar los controles de acceso al directorio y al IdP.

La seguridad no termina al aplicar un parche: rotar certificados y claves, invalidar sesiones y tokens antiguos, y validar que las integraciones SSO funcionan correctamente son pasos necesarios para cerrar el ciclo. Si hay dudas o se detectan anomalías, contactar al soporte de Cisco y seguir las recomendaciones específicas del aviso de seguridad es la vía adecuada. La página central de avisos de Cisco PSIRT es un recurso clave: Cisco PSIRT – avisos y boletines.

En resumen, estas correcciones subrayan dos lecciones recurrentes: las integraciones de identidad son un objetivo atractivo para atacantes por la potencia que ofrece una cuenta comprometida, y las infraestructuras de red y gestión (como ISE o FMC) requieren controles de acceso y actualizaciones estrictas. Actuar ahora, coordinar cambios con los equipos de identidad y operaciones, y mantener la vigilancia en los registros es lo que marcará la diferencia entre una actualización rutinaria y la mitigación eficaz de un riesgo real.