Se ha publicado un exploit de prueba de concepto (PoC) público para la CVE-2026-20127, una vulnerabilidad de gravedad máxima de día cero en el Cisco Catalyst SD-WAN Controller y el SD-WAN Manager que ha sido explotada activamente en la naturaleza desde al menos 2023. Cisco Talos está rastreando la actividad de la amenaza bajo el clúster UAT-8616, describiéndola como un "actor de amenazas cibernéticas altamente sofisticado" que apunta a infraestructuras críticas.

Se ha publicado un exploit de prueba de concepto (PoC) público para la CVE-2026-20127, una vulnerabilidad zero-day de severidad máxima en el Cisco Catalyst SD-WAN Controller y SD-WAN Manager que ha sido explotada activamente en la naturaleza desde al menos 2023.

Cisco Talos está rastreando la actividad de esta amenaza bajo el clúster UAT-8616, describiéndola como un "actor de amenazas cibernéticas altamente sofisticado" que apunta a infraestructuras críticas a nivel global.

Un PoC publicado en GitHub por zerozenxlabs incluye un script de exploit en Python funcional y una webshell JSP (cmd.jsp).

También contiene un archivo WAR desplegable, lo que reduce la barrera para que más actores de amenazas aprovechen esta falla crítica.

Cómo funciona el ataque

La vulnerabilidad existe porque el mecanismo de autenticación de peering en los sistemas Cisco SD-WAN afectados está roto.

Un atacante remoto no autenticado envía una solicitud HTTP especialmente diseñada a la API REST del SD-WAN Controller, eludiendo por completo el proceso de inicio de sesión y obteniendo una sesión administrativa sin credenciales válidas.

Una vez dentro, UAT-8616 siguió una cadena de ataque de múltiples etapas:

1. Acceso inicial: Explotó la CVE-2026-20127 para obtener acceso administrativo de alto privilegio (no root) y añadió un dispositivo peer no autorizado al plano de gestión/control de SD-WAN.
2. Escalada de privilegios: Realizó una degradación deliberada de la versión del software para reintroducir la antigua vulnerabilidad CVE-2022-20775, escalando a acceso root completo.
3. Restauración de versión: Restauró el sistema a su versión original del software para borrar evidencia forense de la degradación.
4. Persistencia: Añadió claves SSH no autorizadas a /home/root/.ssh/authorized_keys, estableció PermitRootLogin yes en sshd_config y modificó los scripts de inicio de SD-WAN.
5. Movimiento lateral: Usó NETCONF (puerto 830) y SSH para pivotar entre dispositivos SD-WAN y manipular toda la configuración de la red.
6. Encubrimiento: Borró syslog, bash_history, wtmp, lastlog y los registros en /var/log/.

Cisco Talos insta a los administradores a auditar inmediatamente los eventos de conexión de peering de control en los registros de SD-WAN en busca de conexiones peer no autorizadas de vManage, IPs de origen inesperadas y marcas de tiempo anómalas.

Cualquier entrada en los registros que muestre adiciones de peers no autorizados, modificaciones de claves SSH o ciclos de degradación/actualización de versión debe tratarse como indicadores de compromiso de alta fidelidad.

La CISA ha añadido la CVE-2026-20127 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y ha ordenado el parcheo urgente para agencias federales.

Las organizaciones que utilizan Cisco Catalyst SD-WAN deben aplicar los parches de inmediato, revisar el aviso de seguridad y seguir la Guía de Caza de Amenazas SD-WAN del Centro Australiano de Seguridad Cibernética para verificar si hay compromisos.

Se ha publicado un exploit de prueba de concepto (PoC) público para la CVE-2026-20127, una vulnerabilidad zero-day de severidad máxima en el Cisco Catalyst SD-WAN Controller y SD-WAN Manager que ha sido explotada activamente en la naturaleza desde al menos 2023. Cisco Talos está rastreando la actividad de esta amenaza bajo el clúster UAT-8616, describiéndola como un "actor de amenazas cibernéticas altamente sofisticado" que apunta a infraestructuras críticas [...].

Fuentes:
https://cybersecuritynews.com/poc-exploit-cisco-sd-wan-0-day-vulnerability/