Interlock explota una vulnerabilidad de Cisco FMC para ejecución remota de código antes del parche y eleva el riesgo en redes empresariales

Los equipos de seguridad y los gestores de redes tienen un nuevo motivo para revisar con urgencia sus cortafuegos: el grupo de ransomware conocido como Interlock ha estado aprovechando una vulnerabilidad de ejecución remota de código (RCE) en el software Cisco Secure Firewall Management Center (FMC) antes de que la corrección pública estuviera disponible.

Según la telemetría publicada por el equipo de inteligencia de Amazon, la explotación activa de este fallo comenzó a finales de enero de 2026, mucho antes de que Cisco hiciera pública la solución. El hallazgo de Amazon indica que los atacantes contaban con un exploit funcional al menos desde el 26 de enero, lo que les dio una ventaja para comprometer sistemas antes de que los defensores supieran exactamente qué buscar. Puede consultarse el informe de Amazon para más contexto y detalles técnicos en su blog de seguridad: Amazon Threat Intelligence.

Cisco lanzó el parche el 4 de marzo de 2026 y acompañó la actualización con un aviso en el que describe la vulnerabilidad catalogada como CVE-2026-20131. La compañía advirtió que, en dispositivos sin parchear, un atacante no autenticado podría ejecutar código Java arbitrario con privilegios de root a través de la interfaz web del FMC. La propia nota de Cisco con las recomendaciones y la descarga de actualización está disponible en su centro de seguridad: Cisco Security Advisory. Para datos técnicos estándar y seguimiento del CVE, el registro del NVD ofrece una entrada pública: NVD · CVE-2026-20131.

Interlock no es un actor menor: emergió públicamente en septiembre de 2024 y ha sido relacionado con otras campañas previas que incluyeron la distribución de troyanos de acceso remoto, como NodeSnake, y ataques a universidades del Reino Unido. El grupo se ha atribuido incidentes de alto perfil contra organizaciones del sector salud y la educación, entre otras víctimas. Además, investigadores de IBM X-Force han señalado la aparición de una nueva carga maliciosa asociada al grupo, apodada Slopoly, que posiblemente incorpore herramientas basadas en inteligencia artificial generativa para ampliar sus capacidades de ataque.

La combinación de un exploit de día cero y un objetivo tan sensible como la consola de gestión de cortafuegos plantea un riesgo elevado. El FMC es precisamente el punto desde el que se controla la política de seguridad de la red; lograr ejecución remota con privilegios de root permite a un atacante desactivar reglas, desplegar rutas maliciosas, o moverse lateralmente con relativa libertad. Es el tipo de acceso que convierte una brecha en un incidente de alcance mayor en muy poco tiempo.

Las investigaciones recientes muestran además que Cisco ha tenido que responder a varios fallos explotados en entornos productivos en lo que va de año, lo que subraya la presión a la que están sometidos tanto los fabricantes como los equipos internos de seguridad. En este escenario, la ventana entre descubrimiento y explotación puede ser muy corta, y los adversarios se benefician de cada día que un parche no es aplicado en entornos críticos.

Para los responsables de infraestructura que administran Cisco FMC, la recomendación inmediata es clara: aplicar las actualizaciones oficiales proporcionadas por Cisco y seguir las guías del aviso de seguridad. Más allá del parche, conviene revisar los accesos a la consola de gestión, restringir su exposición a Internet, aplicar segmentación de red para aislar el FMC y analizar los registros en busca de actividad sospechosa previa al parche. En escenarios donde la corrección inmediata no sea posible, mitigar la exposición y vigilar señales de compromiso puede marcar la diferencia.

Hay otra lección estratégica: los atacantes se están moviendo rápido y, en algunos casos, aprovechando capacidades ampliadas por herramientas automatizadas o basadas en IA para crear y adaptar malware. Esto incrementa la necesidad de defensa en profundidad, telemetría centralizada y ejercicios de respuesta a incidentes que consideren la posibilidad de compromisos iniciales a través de sistemas de gestión.

Finalmente, la comunidad de seguridad y los proveedores deben mantener una comunicación fluida. El caso de Amazon detectando explotación previa y compartiendo esa información con Cisco para acelerar la respuesta es un ejemplo de colaboración que ayuda a reducir el impacto. La coordinación entre detectores, proveedores y operadores es hoy tan crucial como nunca.

Si gestionas un Cisco Secure FMC, revisa cuanto antes el aviso de Cisco y las indicaciones de mitigación, y considera auditar tu entorno en busca de signos de actividad anómala en las fechas previas a la publicación del parche. Los recursos oficiales mencionados en este artículo son un buen punto de partida para actuar con rapidez: Aviso de seguridad de Cisco, el informe de Amazon sobre la campaña: Amazon Threat Intelligence, y la ficha pública del CVE: NVD · CVE-2026-20131.