Dos calificaciones en una página, y se contradicen

A las 16:00 GMT del 29 de julio de 2026 Cisco publicó un aviso sobre el software de su Secure Firewall Management Center, y el documento se contradice de una forma que merece lectura atenta. El fallo es CVE-2026-20316, registrado internamente como el error CSCwt95997. Cisco le asigna una puntuación base CVSS versión 3.1 de 5,3, que cae en la banda media, y en la misma página le atribuye una calificación de impacto de seguridad alta. Ambas cifras salen de procesos distintos. La primera es aritmética aplicada a una cadena de vector. La segunda es un juicio de personas que saben qué hace el producto y dónde lo colocan los clientes.

Cuando un fabricante anula su propia aritmética, la anulación es la señal. Cisco no elevó la puntuación, que habría sido el movimiento más cómodo; dejó el 5,3 en pie y colocó al lado la calificación cualitativa más alta. Esa combinación es la empresa diciendo, en los dos únicos vocabularios de que dispone, que la fórmula describe esto correctamente y aun así se pierde lo esencial. La mayoría de las organizaciones ingiere la primera cifra de forma automática y la segunda en absoluto, porque la primera llega por una interfaz y la segunda en prosa.

Qué mide el vector y qué deja fuera

El vector es AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, y cada término hace un trabajo honesto. El fallo es alcanzable por red, exige poca complejidad de ataque, no requiere privilegios ni interacción del usuario y no cambia el alcance. Luego los impactos: confidencialidad baja, integridad ninguna, disponibilidad ninguna. Quien lo explote podrá leer algunas cosas y no modificar nada. Metido en la fórmula, eso da 5,3, y la fórmula no se equivoca. Respondió a la pregunta que le hicieron.

La pregunta que no le hicieron es dónde está la máquina. El Secure Firewall Management Center es el plano de gestión, la consola desde la que se escribe la política del cortafuegos y se despliega por todo el parque. El acceso de lectura en esa máquina no es una ojeada a los datos de un sistema: es reconocimiento del propio perímetro, de conjuntos de reglas, de grupos de objetos y de qué sedes existen. CVSS no tiene un campo para eso. La posición es justo lo que una puntuación base excluye a propósito, porque el estándar debe viajar entre organizaciones que despliegan el mismo producto de forma distinta, y el precio de esa portabilidad es que la cifra no puede conocer su topología.

Tres días, en un reloj que no es el suyo

CISA añadió CVE-2026-20316 a su catálogo de vulnerabilidades explotadas conocidas el 29 de julio, con vencimiento el 1 de agosto, bajo la Binding Operational Directive 26-04. La acción exigida dice: aplicar mitigaciones conforme a las instrucciones del fabricante y, si no hay corrección disponible, dejar de usar el producto. El catálogo supera ya las 1.600 entradas. En el campo sobre uso conocido en campañas de secuestro de datos figura Desconocido, y eso es una afirmación sobre visibilidad, no sobre seguridad.

Esa directiva obliga a las agencias civiles federales de Estados Unidos. No obliga a un fabricante de Zaragoza ni a un operador logístico de Valencia, y nadie debería parchear creyendo lo contrario. Lo que cruza el Atlántico intacto es la prueba, porque una entrada en el catálogo es la afirmación de un gobierno de que se ha observado explotación real. Con NIS2, las entidades esenciales e importantes deben gestionar las vulnerabilidades como asunto de gobernanza, de modo que la decisión acaba por escrito en ambos sentidos. El INCIBE-CERT es la vía por la que llegaría un aviso español. Incumplir a conciencia un plazo federal de tres días es una postura defendible, y mucho más débil sin la nota que la justifique.

Una contraseña que nadie puede cambiar

La clase de debilidad es CWE-259, uso de contraseña codificada de forma fija, y Cisco afirma sin rodeos que en el software existen credenciales estáticas para una cuenta de privilegios bajos. Esa redacción tiene consecuencias operativas. Una contraseña filtrada se cambia, una débil se refuerza, una predeterminada se sustituye en el primer arranque. Una compilada dentro no es nada de eso: no hay campo en la consola para ella ni política que la desactive. El apartado de soluciones alternativas dice que no las hay, y no es un descuido. Sencillamente no queda nada que apagar.

Seis ramas de versión la arrastran, 7.0, 7.2, 7.4, 7.6, 7.7 y 10.0, con parches urgentes emitidos para todas. El momento es la parte que debería llegar al comité de cambios. El equipo de seguridad de producto de Cisco declara que en julio de 2026 tuvo conocimiento de explotación activa de esta vulnerabilidad, lo que sitúa los ataques antes de la corrección. Para cualquier ventana de julio en la que una consola afectada estuviera accesible, la lectura honesta es que la credencial era pública para quien la hubiera encontrado e inalcanzable para el operador que era dueño de la máquina.

Cambie la regla de triaje, no solo el parque

Primero parchee y después mire la regla que habría bajado la prioridad de esto. La mayoría de las políticas de corrección asigna plazos a las bandas CVSS: crítica en una semana, alta en un mes, media en un trimestre. Pase CVE-2026-20316 por esa lógica y un fallo explotado antes de que existiera su parche cae en el cajón de los noventa días. El fracaso no es que alguien fuera descuidado: es que la política hace a la puntuación una pregunta que la puntuación no puede responder y luego trata la respuesta como una instrucción.

Conviene hacer tres cambios esta semana. Añada una regla por la que toda entrada del catálogo de vulnerabilidades explotadas herede el plazo más corto que usted maneje, sea cual sea su puntuación, porque la explotación observada es un hecho del mundo y una puntuación base es una propiedad de una fórmula. Añada una segunda que suba de nivel cualquier cosa situada en un plano de gestión, ya que la consola que configura un control vale más como objetivo que el control. Después inventaríe qué instancias del Secure Firewall Management Center son alcanzables desde fuera y confirme que cada una está en una versión corregida, porque la corrección es el único remedio disponible.

Leer a continuación: ServiceNow parcheó su nube primero y a usted 103 días más tarde  |  La corrección era pública 81 días antes del aviso