🚨 Ataques activos contra firewalls de Cisco: dos fallas críticas que ya están siendo explotadas
Si administras redes con Cisco ASA o FTD, este aviso te interesa… y mucho.
Cisco ha confirmado que actores avanzados están explotando activamente dos vulnerabilidades críticas en sus dispositivos Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD).
Las fallas, identificadas como CVE-2025-20333 y CVE-2025-20362, están siendo aprovechadas como zero-days para desplegar malware altamente sofisticado, incluyendo RayInitiator y LINE VIPER.
¿Qué está pasando?
Estas vulnerabilidades fueron reportadas en septiembre de 2025, pero ahora se ha confirmado su explotación en entornos reales, principalmente en redes empresariales y gubernamentales.
La gravedad radica en que ambas pueden combinarse, permitiendo a un atacante tomar control total del dispositivo sin necesidad de credenciales válidas.
-
CVE-2025-20333: un buffer overflow en el servicio web de administración de Cisco que permite ejecución remota de código con privilegios root.
Requiere autenticación, pero una vez combinada con la segunda falla, deja de ser una barrera.
-
CVE-2025-20362: una falla de autorización insuficiente, que permite acceder a URLs restringidas sin autenticación.
En otras palabras: el atacante puede saltarse el login y preparar el terreno para explotar la primera vulnerabilidad.
El resultado puede ser devastador: reinicios inesperados del firewall, caídas de red y condiciones de denegación de servicio (DoS), además de la posibilidad de control remoto persistente.
Qué debes hacer ahora mismo 🔧
Cisco ha publicado parches de emergencia y recomienda aplicar las actualizaciones sin demora.
Si administras entornos con ASA o FTD, estas son las acciones inmediatas:
-
Actualiza tus dispositivos a las versiones más recientes de firmware disponibles en el portal de Cisco.
-
Monitorea el tráfico en busca de conexiones extrañas, especialmente hacia hosts desconocidos o salidas no autorizadas.
-
Revisa los logs del firewall por recargas inesperadas o errores del servicio web.
-
Refuerza las reglas de acceso a la interfaz de administración (por ejemplo, limitando IPs o usando VPN interna).
-
Segmenta la red para minimizar el impacto en caso de compromiso.
Cisco también informó de dos fallos críticos adicionales en Unified Contact Center Express, que permiten ejecución de comandos arbitrarios y elevación de privilegios. Estos parches deben aplicarse en paralelo si usas ese entorno.
Una amenaza patrocinada por estados
Las agencias CISA (EE. UU.) y NCSC (Reino Unido) ya emitieron alertas conjuntas.
Los patrones de ataque y la infraestructura usada apuntan a grupos patrocinados por estados, con objetivos centrados en infraestructuras críticas y comunicaciones empresariales.
El caso demuestra una tendencia clara: los firewalls —antes el escudo— ahora son uno de los blancos más valiosos.
La frontera entre defensa y vulnerabilidad se vuelve más delgada cada día.
💡 En resumen
La combinación de CVE-2025-20333 y CVE-2025-20362 es una bomba lógica en potencia.
Si trabajas en TI, no esperes a que aparezcan síntomas: actualiza, monitorea y revisa tus políticas de administración remota.
🔐 Porque en ciberseguridad, un firewall sin parchear es una puerta abierta disfrazada de seguridad.