Vulnerabilidades zero-day en Cisco: cuando los routers y switches se vuelven tu punto débil
Un día más, un parche más… ¿pero este es importante? Cisco acaba de anunciar correcciones para 14 vulnerabilidades en sus sistemas operativos IOS y IOS XE, y entre ellas hay una que merece atención especial: una vulnerabilidad zero-day que ya está siendo explotada activamente. Y no, no es una falsa alarma.
La vulnerabilidad que mantiene a los administradores sin dormir
La vulnerabilidad en cuestión, catalogada como CVE-2025-20352 con una puntuación CVSS de 7.7 (bastante seria), consiste en un desbordamiento de pila en el subsistema SNMP (Simple Network Management Protocol) de los sistemas IOS y IOS XE. En términos más sencillos: existe un agujero en el código que permite enviar paquetes SNMP especialmente manipulados a un router o switch vulnerable y provocar un comportamiento no deseado.
Lo preocupante no es solo que exista, sino que ya hay constancia de ataques reales utilizándola. Y aunque suene técnico, esta es la clase de vulnerabilidad que puede afectar desde pequeñas oficinas hasta infraestructuras críticas.
¿Qué impacto real tiene esta falla?
Las consecuencias varían según el nivel de privilegios que tenga el atacante:
- Con privilegios básicos: pueden causar una denegación de servicio (DoS), lo que básicamente significa que tu dispositivo deja de funcionar correctamente.
- Con privilegios elevados: pueden ejecutar código arbitrario como usuario root, lo que equivale a decir que se convierten en los dueños de tu dispositivo.
Y cuando hablamos de dispositivos que gestionan todo el tráfico de red de una organización, estas consecuencias no son para tomárselas a la ligera.
¿Quién está en riesgo?
Prácticamente cualquiera que use dispositivos Cisco con versiones vulnerables de IOS o IOS XE, lo que incluye:
- Todos los dispositivos con versiones vulnerables de estos sistemas operativos
- Switches Meraki MS390
- Switches Catalyst 9300 que ejecuten Meraki CS 17 o versiones anteriores
No es una actualización cualquiera
Lo crítico de esta situación es que Cisco ha confirmado que esta vulnerabilidad zero-day ya está siendo explotada por atacantes que utilizan credenciales de administrador comprometidas. Para ejecutar código como usuario root, el atacante necesita:
- La cadena de comunidad de solo lectura SNMPv1 o v2c, o
- Credenciales válidas de usuario SNMPv3
- Y además, credenciales administrativas o de privilegio 15 en el dispositivo afectado
Suena complejo, pero créeme cuando te digo que en entornos corporativos donde las credenciales a menudo se comparten o no se cambian con suficiente frecuencia, estos requisitos no son tan difíciles de conseguir para un atacante determinado.
El paquete completo: más allá del zero-day
Esta nueva ronda de parches no se limita a corregir la vulnerabilidad explotada. Cisco también ha abordado:
Ocho vulnerabilidades de alta gravedad que podrían permitir:
- Condiciones de denegación de servicio
- Ejecución de código durante el arranque
- Ejecución de comandos con privilegios de root
- Bypass de autenticación
- Filtraciones de datos
Cinco vulnerabilidades de gravedad media que podrían causar:
- Condiciones DoS adicionales
- Ataques de Cross-Site Scripting (XSS)
- Bypass de listas de control de acceso (ACL)
- Acceso indebido al servidor de infraestructura de clave pública (PKI)
Es importante mencionar que para dos de estas vulnerabilidades (CVE-2025-20240 y CVE-2025-20149) ya existe código de prueba de concepto, aunque Cisco indica que no hay evidencia de su explotación activa.
¿Qué deberías hacer ahora?
Si administras dispositivos Cisco, la respuesta es simple: actualiza cuanto antes. No es momento de postergar estas actualizaciones o entrar en el peligroso juego de «ya lo haré el mes que viene».
En el mundo de las vulnerabilidades, especialmente las zero-day, el tiempo corre en tu contra. Una vez que se hace pública la existencia de estas vulnerabilidades (y más aún cuando ya hay exploits activos), el reloj comienza a correr. Los atacantes intensifican sus esfuerzos sabiendo que muchos sistemas permanecerán sin parchear durante semanas o incluso meses.
Más allá de Cisco IOS
Además de las vulnerabilidades mencionadas en IOS y IOS XE, Cisco también ha parcheado tres fallas de gravedad media en otros productos:
- Software SD-WAN vEdge (posible bypass de ACL)
- Software de Access Point (manipulación de gateway IPv6)
- Software de Wireless Access Point (manipulación de datos de Device Analytics)
La lección de siempre, pero con urgencia renovada
Estas vulnerabilidades nos recuerdan algunas verdades incómodas pero importantes:
- Ninguna infraestructura está completamente segura, ni siquiera la de gigantes como Cisco
- Las vulnerabilidades zero-day son particularmente peligrosas porque se explotan antes de que exista un parche
- La gestión de parches debe ser prioritaria, especialmente en infraestructuras críticas
En un panorama donde vemos exploits en tiempo real contra agencias federales (como el reciente ataque usando una vulnerabilidad en GeoServer) y actualizaciones de emergencia en productos como SonicWall y SolarWinds, la gestión de vulnerabilidades ya no es solo una buena práctica: es una necesidad urgente.
Sí, aplicar parches puede ser engorroso y a veces causa interrupciones. Pero créeme cuando te digo que lidiar con un incidente de seguridad causado por una vulnerabilidad conocida es mucho, mucho peor.
