Cisco corrige CVE-2026-76504, un zero-day de SD-WAN Manager con acceso administrativo
Cisco corrige CVE-2026-76504, un zero-day de SD-WAN Manager con acceso administrativo
Un bypass de autenticación en Catalyst SD-WAN Manager permite alcanzar la API como administrador con una solicitud HTTP manipulada. Cisco confirmó explotación activa, publicó versiones corregidas e indicadores para la revisión forense.
Un bypass remoto sin credenciales
Cisco publicó el 30 de septiembre CVE-2026-76504, una vulnerabilidad crítica de la autenticación basada en sesiones de Catalyst SD-WAN Manager, antes conocido como vManage. El producto centraliza la configuración y supervisión de la red SD-WAN, por lo que una cuenta administrativa comprometida puede tener impacto sobre un amplio conjunto de dispositivos gestionados.
La falla se debe al tratamiento incorrecto de caracteres codificados en una solicitud HTTP. Un atacante remoto sin autenticarse puede enviar una petición especialmente construida, eludir la regla que protege un endpoint de la API y obtener acceso con los privilegios del usuario admin. Cisco asignó un CVSS de 9,8 y confirmó que la vulnerabilidad se explota activamente desde septiembre de 2026.
Todos los despliegues están expuestos
La exposición no depende de una configuración opcional: Cisco considera afectados todos los despliegues de Catalyst SD-WAN Manager. No existe una solución alternativa que elimine el riesgo; limitar el acceso de administración a redes y hosts confiables solo reduce la superficie mientras se instala la corrección.
Las primeras versiones corregidas son 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 y 26.2.1. Las ramas anteriores a 20.9 deben migrar. Cisco indicó que los entornos administrados por el propio fabricante fueron actualizados a 20.15.605.
Indicadores para buscar explotación
El aviso incluye señales concretas para la investigación. Los atacantes observados usaron variantes codificadas de j_security_check, por ejemplo una solicitud POST a /%6a_security_check. También pueden aparecer cuentas cuyo nombre comienza por viptela-reserved-.
La revisión debe abarcar /var/log/nms/containers/service-proxy/serviceproxy-access.log y /var/log/nms/vmanage-server.log, correlacionando las solicitudes con direcciones IP no autorizadas y cambios administrativos posteriores. La ausencia de una entrada aislada no descarta compromiso si los registros fueron rotados o alterados.
Respuesta prioritaria
La combinación de explotación confirmada, ausencia de autenticación y privilegios administrativos exige tratar la actualización como una emergencia operativa. CISA incorporó la falla a su catálogo de vulnerabilidades explotadas conocidas.
- Actualizar inmediatamente a la primera versión corregida o una posterior de la misma rama.
- Retirar la interfaz de administración de Internet y permitir acceso solo desde redes y hosts de gestión confiables.
- Preservar y revisar los registros indicados por Cisco antes de reiniciar o reconstruir el sistema.
- Si existen indicios, abrir un caso con Cisco TAC, rotar credenciales administrativas y validar configuraciones y cambios distribuidos a los dispositivos SD-WAN.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2Rapid7 ↗otra
- 3BleepingComputer ↗prensa especializada
- 4Cisco Security Advisory ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista