Root en Cisco. Y sin necesidad de contraseña. Si no actualizaste — el sistema ya no es tuyo

Cisco ha publicado una alerta actualizada sobre una vulnerabilidad crítica en sus productos Identity Services Engine (ISE) y ISE Passive Identity Connector (ISE-PIC), que permite a un atacante ejecutar remotamente código arbitrario en el sistema operativo con privilegios de superusuario. La vulnerabilidad ha sido identificada como CVE-2025-20337 y recibió la puntuación máxima en la escala CVSS: 10.0. Es la segunda vulnerabilidad de este tipo en poco tiempo, ya que Cisco solucionó previamente un problema similar con el identificador CVE-2025-20281.

La empresa explicó que el problema radica en una validación insuficiente de los datos recibidos de los usuarios a través de una API específica. Para explotar esta falla, el atacante no necesita autenticarse: basta con enviar una solicitud API especialmente manipulada. Si el ataque tiene éxito, el atacante obtendrá acceso a las funciones del sistema con los privilegios más altos.

Las versiones afectadas son ISE e ISE-PIC 3.3 y 3.4, sin importar la configuración del dispositivo. Las versiones anteriores — 3.2 y anteriores — no están afectadas. Cisco ya ha lanzado los parches: para la versión 3.3 en el paquete de actualización número 7, y para la 3.4 en el segundo paquete. Según la información actual, no se han detectado abusos de esta vulnerabilidad, aunque los especialistas insisten en la importancia de actualizar los sistemas a tiempo.

Paralelamente, se ha informado que la vulnerabilidad CVE-2025-25257 en Fortinet FortiWeb está siendo explotada activamente por atacantes. Según The Shadowserver Foundation, desde el 11 de julio los ciberdelincuentes comenzaron a utilizar masivamente exploits ya publicados para instalar web shells en sistemas vulnerables. Al 15 de julio se han registrado 77 instancias infectadas — ocho menos que el día anterior. La mayoría de los casos se han detectado en América del Norte (44), Asia (14) y Europa (13).

Según el análisis de Censys, hay más de 20.000 instancias de Fortinet FortiWeb accesibles en Internet, sin contar los honeypots. Aún no está claro cuántas de ellas son vulnerables, pero la preocupación de los especialistas radica en que el exploit permite ejecutar consultas SQL arbitrarias mediante solicitudes HTTP manipuladas, lo cual a su vez permite la ejecución remota de código en el servidor.