Un ataque activo está aprovechando una nueva vulnerabilidad crítica de día cero en Cisco Catalyst SD-WAN Manager, el sistema utilizado para gestionar las redes SD-WAN de Cisco. La compañía emitió una advertencia el 30 de septiembre sobre esta falla, identificada como CVE-2026-76504, que afecta a organizaciones que dependen de esta infraestructura para su conectividad empresarial.
La vulnerabilidad, con una puntuación CVSS de 9.8 (crítica), permite a un atacante remoto sin credenciales acceder y utilizar la API del Manager con privilegios de administrador. La falla reside en cómo el Manager maneja la codificación URI en una solicitud HTTP, lo que permite eludir una regla de autenticación diseñada para restringir el acceso a un endpoint específico de la API. Los sistemas Managers expuestos directamente a internet son particularmente vulnerables a la explotación.
Cisco ha confirmado que su Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) tiene conocimiento de la explotación activa de esta vulnerabilidad desde septiembre de 2026. La lista de productos afectados incluye varias versiones de Cisco Catalyst SD-WAN Manager, y se recomienda una actualización inmediata. Las versiones anteriores a 20.9 deben migrar a una versión corregida. Para las series 20.9, 20.12, 20.15, 20.18, 26.1 y 26.2, ya existen lanzamientos con la corrección disponible, como 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 y 26.2.1, respectivamente.
Como mitigación temporal, Cisco aconseja restringir el acceso al Manager desde redes no seguras, como internet. Si el acceso a internet es indispensable, debe limitarse solo a hosts conocidos y de confianza, y los componentes de control deben estar detrás de un firewall. Además, se recomienda verificar los archivos de registro /var/log/nms/containers/service-proxy/serviceproxy-access.log y /var/log/nms/vmanage-server.log en busca de entradas j_security_check desde direcciones IP desconocidas o no autorizadas, especialmente aquellas asociadas con usuarios que comienzan con viptela-reserved-.
Qué significa para tu empresa: Esta vulnerabilidad subraya la importancia crítica de mantener la infraestructura de red actualizada y protegida, incluso en entornos SD-WAN. Las empresas que utilizan Cisco Catalyst SD-WAN Manager deben priorizar la aplicación de los parches disponibles lo antes posible. Además, la segmentación de la red y la restricción del acceso a los paneles de administración desde internet son prácticas fundamentales de seguridad. La gestión proactiva de parches y la supervisión continua son componentes clave de nuestras capacidades de redes gestionadas, que incluyen la seguridad inherente en el diseño de infraestructura SD-WAN, y la seguridad gestionada por capas (firewall perimetral NGFW, SOC con monitoreo 24/7), que permite detectar y responder rápidamente a este tipo de amenazas para proteger la conectividad y las operaciones de su negocio.
Fuente original: The Hacker News — ver artículo →