Actores de amenazas de ransomware explotaron la vulnerabilidad CVE-2026-20131, un fallo de máxima gravedad en el software Cisco Secure Firewall Management Center, como una debilidad de día cero más de un mes antes de que Cisco la corrigiera.
La revelación es del CISO de Amazon, CJ Moses, quien en una publicación de blog el pasado18 de marzo, aseguró que “nuestra investigación reveló que Interlock estaba explotando esta vulnerabilidad 36 días antes de su divulgación pública, a partir del 26 de enero”.
Esta grave vulnerabilidad de seguridad permite a un atacante remoto no autenticado ejecutar código Java arbitrario como administrador en dispositivos vulnerables. Cisco publicó actualizaciones de software que solucionan la vulnerabilidad el 4 de marzo, pero los atacantes ya llevaban ventaja.
Amazon detectó a los intrusos en su red de señuelos (honeypots) MadPot, que registró el tráfico de exploits vinculado a la infraestructura de Interlock.
Además —y esto resultó muy útil para los defensores de la red—, el equipo de inteligencia sobre amenazas también detectó un servidor de infraestructura mal configurado que dejaba al descubierto el kit de herramientas de explotación de Interlock.
Interlock es un grupo de ransomware que surgió en 2025 y desde entonces ha infectado hospitales y centros médicos, incluyendo la empresa de diálisis renal Davita y Kettering Health, donde los delincuentes no solo interrumpieron sesiones de quimioterapia y citas preoperatorias, sino que también filtraron información confidencial de pacientes con cáncer en línea.
Este grupo criminal también afirmó haber robado 43 GB de archivos de la ciudad de Saint Paul durante el verano, lo que obligó a la capital de Minnesota a declarar el estado de emergencia.
Índice de temas
CISA añade vulnerabilidad a su catálogo
De acuerdo con la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA por sus siglas en inglés) de Estados Unidos, los grupos de ransomware se encuentran entre quienes explotan esta vulnerabilidad crítica.
Ese día por la noche, CISA añadió la vulnerabilidad CVE-2026-20131 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), indicó que se sabe que se utiliza en infecciones de ransomware y dio a las dependencias federales estadounidenses tres días para corregirla.
Al cierre de 2025, el catálogo de CISA superó las 1,300 vulnerabilidades con evidencia de explotación activa, destacando un incremento de 22% en fallos de ejecución de código remoto (RCE) en firewalls perimetrales respecto al año anterior.
Cisco agradece colaboración
Un portavoz de Cisco informó a The Register que actualizarán su boletín de seguridad para reflejar la explotación.
“Agradecemos la colaboración de Amazon en este asunto y hemos actualizado nuestro boletín de seguridad con la información más reciente. Instamos encarecidamente a los clientes a actualizar sus sistemas lo antes posible y a consultar nuestro boletín de seguridad para obtener más detalles y orientación”, comentó.
