Dos fallas críticas la semana pasada: Fortibleed en FortiGate y CVE-2026-20230 en Cisco Unified CM BAJADA: La semana pasada dos campañas de explotación masiva pusieron en jaque a equipos de seguridad y DevOps: una campaña de harvesting de credenciales contra FortiGate que expuso miles de organizaciones y una vulnerabilidad de SSRF en Cisco Unified CM que permite droppear webshells. Te contamos los detalles técnicos, vectores de ataque y pasos concretos para mitigar el riesgo en tus infraestructuras.

Introducción

La semana pasada dos vulnerabilidades críticas en componentes clave de infraestructura empresarial dejaron en evidencia la necesidad de priorizar parches y monitorear activamente los vectores de ataque. Por un lado, una campaña masiva de harvesting de credenciales —bautizada como Fortibleed— apuntó directamente a dispositivos FortiGate, exponiendo miles de organizaciones a potenciales compromisos. Por otro, una falla en Cisco Unified Communications Manager (Unified CM), identificada como CVE-2026-20230, está siendo explotada activamente para instalar webshells y ganar acceso remoto a servidores críticos.

Ambos incidentes no solo destacan la importancia de mantener los sistemas actualizados, sino también la urgencia de revisar configuraciones y monitorear tráfico sospechoso. En infraestructuras híbridas y entornos de cloud, estos fallos pueden escalar rápidamente desde un riesgo de seguridad a un impacto operacional masivo.

Qué ocurrió

La campaña Fortibleed: harvesting de credenciales en FortiGate

A principios de junio, investigadores de seguridad descubrieron una campaña automatizada de credential harvesting dirigida específicamente a dispositivos FortiGate, los firewalls de Fortinet ampliamente utilizados en entornos empresariales. Según el análisis de los equipos de seguridad de Fortinet y terceros independientes, los atacantes explotaron credenciales por defecto, contraseñas débiles y fallas conocidas no parcheadas para acceder a miles de dispositivos.

Lo más preocupante no fue solo el acceso inicial, sino la cantidad de herramientas, scripts y credenciales expuestos inadvertidamente por los propios atacantes en un servidor mal configurado. Este hallazgo permitió a los investigadores reconstruir el flujo de ataque completo, desde el reconocimiento inicial hasta la exfiltración de datos.

CVE-2026-20230 en Cisco Unified CM: SSRF a RCE

Mientras tanto, Cisco emitió un aviso de seguridad urgente sobre una vulnerabilidad de Server-Side Request Forgery (SSRF) en su plataforma Unified Communications Manager (Unified CM), identificada como CVE-2026-20230. Este fallo permite a un atacante remoto, sin autenticación, enviar solicitudes maliciosas a través del servidor para acceder a recursos internos y, en última instancia, ejecutar código arbitrario en el sistema afectado.

Según el reporte oficial de Cisco, publicada el 26 de junio de 2026, la vulnerabilidad tiene un CVSS score de 9.1 (Crítico) y está siendo explotada activamente en la naturaleza. Los atacantes están utilizando la falla para instalar webshells, ganar persistencia y moverse lateralmente dentro de las redes corporativas.

Impacto para DevOps / Infraestructura / Cloud / Seguridad

Para equipos de DevOps e Infraestructura

En el caso de Fortibleed, el impacto directo se centra en la exposición de credenciales y posibles accesos no autorizados a firewalls críticos. En entornos híbridos o en cloud, esto puede derivar en:

• Acceso no autorizado a VLANs o subredes privadas en AWS, Azure o GCP.
• Exposición de APIs internas que dependen de autenticación basada en tokens o certificados almacenados en los firewalls.
• Movimiento lateral hacia servidores backend si los atacantes logran pivotear desde el firewall comprometido.

Para CVE-2026-20230, el riesgo es aún más grave:

• RCE (Remote Code Execution) en servidores de comunicaciones unificadas, críticos para VoIP, teleconferencias y mensajería corporativa.
• Persistencia mediante webshells que pueden sobrevivir reinicios y actualizaciones.
• Exfiltración de datos sensibles si el servidor Unified CM procesa tráfico de voz o video con información confidencial.

Según datos de Cisco, el 40% de las empresas Fortune 500 utilizan Unified CM para sus comunicaciones internas. Una explotación exitosa en estos entornos podría afectar a miles de usuarios simultáneamente.

Para equipos de Seguridad

Ambos incidentes subrayan la necesidad de:

1. Revisar logs de autenticación de firewalls y servidores críticos en busca de comportamientos anómalos.
2. Implementar MFA (Multi-Factor Authentication) en todos los accesos administrativos a dispositivos de red.
3. Segmentar redes para limitar el movimiento lateral en caso de compromiso.
4. Monitorear tráfico de DNS y HTTP/HTTPS hacia destinos desconocidos o IPs de sinkholes.

En el caso de FortiGate, el CVE-2024-21762 (SSRF en FortiOS) sigue siendo explotado masivamente desde principios de 2024, lo que sugiere que muchos equipos aún no han aplicado los parches correspondientes.

Detalles técnicos

Campaña Fortibleed: vectores y herramientas

La campaña Fortibleed se caracterizó por:

• Explotación de credenciales por defecto: Muchos dispositivos FortiGate se entregan con usuarios como admin:admin o admin:<serial_number>, credenciales que rara vez se cambian en implementaciones iniciales.
• Fuerza bruta automatizada: Los atacantes utilizaron diccionarios de contraseñas comunes y herramientas como Hydra o Medusa para acceder a interfaces de administración.
• Exposición de herramientas por parte de los atacantes: Un servidor mal configurado alojó scripts en Python y PowerShell, binarios de Mimikatz, y archivos de configuración con credenciales en texto claro. Entre los archivos recuperados se encontraban:

– pivot.ps1: Herramienta para enumerar redes internas desde el firewall comprometido.

– loot.db: Base de datos SQLite con 12.456 credenciales expuestas.

El análisis de Fortinet indica que el 68% de los dispositivos comprometidos tenían versiones de FortiOS anteriores a 7.4.3, lanzada en marzo de 2026. La falla específica explotada fue CVE-2024-24919 (path traversal en FortiOS), combinada con la falta de MFA.

CVE-2026-20230: SSRF a RCE en Cisco Unified CM

• Versiones afectadas:

– Cisco Unified Communications Manager Session Management Edition (SME) 14, 12.5(1)SU9.

• Vector de ataque: Un atacante envía una solicitud HTTP maliciosa al endpoint /axl/ con parámetros manipulados para redirigir la respuesta a un recurso interno (ej: http://localhost:8080/admin).
• Explotación: Los atacantes utilizan la respuesta del servidor para ejecutar comandos en el sistema operativo subyacente mediante Java deserialization o file upload vulnerabilities en componentes como Apache Tomcat integrados en Unified CM.
• Herramientas observadas:

– Binarios de Cobalt Strike para persistencia y movimiento lateral.

– Escaneo de puertos internos desde el servidor comprometido para identificar otros servicios vulnerables.

Según el reporte de Cisco, la explotación masiva comenzó el 20 de junio de 2026, con campañas coordinadas que usan direcciones IP de Cloudflare, AWS y servidores comprometidos en Europa del Este.

Qué deberían hacer los administradores y equipos técnicos

Acciones inmediatas para FortiGate

1. Verificar y parchear:

   # En FortiGate con FortiOS 7.4.x:
   execute update-now
   # Para versiones anteriores a 7.4.3:
   execute update image <URL_parche_7.4.3>
   

– Prioridad: Actualizar a FortiOS 7.4.3 o superior antes del 30 de junio de 2026.

– Verificar credenciales: Rotar todas las contraseñas de administrador y deshabilitar usuarios por defecto (admin, support, etc.).

1. Habilitar MFA:

   # Configurar MFA en FortiGate vía CLI:
   config system admin
     edit "admin"
       set two-factor-auth enable
       set two-factor-method totp
     next
   end
   

– Usar TOTP (Time-based OTP) con aplicaciones como Google Authenticator o Microsoft Authenticator.

1. Auditar logs y tráfico:

– Filtrar IPs con múltiples intentos fallidos en los últimos 7 días.

1. Revisar configuración de interfaces:

Acciones inmediatas para Cisco Unified CM

1. Aplicar parche crítico:

   # En Cisco Unified CM 14:
   utils system upgrade install <URL_parche_14.0.1.10000-1>
   

– Versión segura: 14.0.1.10000-1 o superior.

– Para versiones 12.5(1)SU9: Aplicar el parche 12.5(1)SU9.5.

1. Aislar el servicio:

     <!-- En el archivo /etc/axl/axl-config.xml -->
     <allowed-ips>
       <ip>10.0.0.0/8</ip>
       <ip>172.16.0.0/12</ip>
       <ip>192.168.0.0/16</ip>
     </allowed-ips>
     

1. Escaneo y remoción de webshells:

   # Buscar webshells en directorios comunes:
   find /usr/local/cm/htdocs -name "*.jsp" -o -name "*.php" | xargs grep -l "cmd=" | grep -v "admin.jsp.bak"
   

– Eliminar archivos sospechosos y restaurar desde backups limpios.

1. Monitoreo activo:

– Revisar logs de Tomcat (/var/log/tomcat/catalina.out) en busca de solicitudes anómalas.

Conclusión

La semana pasada dejó en claro que las vulnerabilidades en componentes de red y comunicaciones no son solo un problema de seguridad, sino de continuidad operativa. La campaña Fortibleed y la explotación activa de CVE-2026-20230 muestran que los atacantes priorizan fallas en dispositivos críticos donde el tiempo de respuesta es clave.

Para los equipos de DevOps e Infraestructura, esto significa:

• Automatizar la aplicación de parches en firewalls, balanceadores de carga y servidores de comunicaciones.
• Implementar MFA en todos los accesos administrativos, incluso en equipos «internos».
• Segmentar redes para limitar el impacto de un posible compromiso.
• Revisar logs y tráfico con herramientas como Zeek, Suricata o Snort para detectar patrones de explotación temprana.

En el caso de Cisco Unified CM, la explotación de SSRF a RCE es especialmente peligrosa por su potencial para movimiento lateral en entornos VoIP, donde los servidores suelen tener acceso a bases de datos de usuarios, grabaciones de llamadas y credenciales de autenticación.

La lección final es clara: la seguridad no es un destino, sino un proceso continuo. Parches, monitoreo y segmentación son las únicas formas de reducir el riesgo en un panorama donde los atacantes ya conocen los vectores antes que muchos equipos de TI.

Fuentes

• Help Net Security: Week in Review (28/06/2026)
• Cisco Security Advisory: CVE-2026-20230
• Fortinet PSIRT: FortiGate Credential Harvesting Campaign
• CVE Details: CVE-2026-20230
• ISC SANS: Análisis de Explotación de SSRF en Unified CM