Cisco ha revelado una vulnerabilidad crítica de día cero en sus productos Catalyst SD-WAN que actores maliciosos han explotado desde 2023 para eludir la autenticación y obtener acceso de root. Identificada como CVE-2026-20127, la falla afecta a componentes clave de red y exige una actualización urgente debido a ataques activos. CVE-2026-20127 se origina en un fallo en el mecanismo de autenticación de peering de Cisco Catalyst 

Cisco ha revelado una vulnerabilidad crítica de día cero en sus productos Catalyst SD-WAN que actores maliciosos han explotado desde 2023 para eludir la autenticación y obtener acceso root.

Registrada como CVE-2026-20127, la falla afecta a componentes clave de redes y exige parches urgentes debido a ataques activos.

La CVE-2026-20127 surge de un fallo en el mecanismo de autenticación de peering del Cisco Catalyst SD-WAN Controller (antes vSmart) y el Cisco Catalyst SD-WAN Manager (antes vManage).

Un atacante remoto no autenticado puede enviar solicitudes manipuladas para eludir las verificaciones, iniciando sesión como una cuenta de usuario interno con altos privilegios (no root).

Este acceso permite la manipulación de NETCONF, lo que posibilita cambios en toda la configuración de red de la estructura SD-WAN, como agregar peers maliciosos o alterar el enrutamiento.

La vulnerabilidad tiene una puntuación base CVSS v3.1 de 10.0 (Crítica), con vector de ataque de red, baja complejidad, sin necesidad de privilegios ni interacción del usuario.

Afecta a implementaciones locales y entornos SD-WAN en la nube de Cisco, incluyendo configuraciones estándar, gestionadas y FedRAMP. Cisco lanzó parches el 25 de febrero de 2026, pero confirmó que no existen soluciones alternativas.

Cronología de explotación

La explotación activa se remonta al menos a 2023, como descubrió Cisco Talos tras detectar uso de día cero en la naturaleza. Talos rastrea la campaña como UAT-8616, vinculándola a la persistencia post-compromiso en objetivos de alto valor, como infraestructuras críticas. Los atacantes agregaron peers maliciosos a las configuraciones, permitiendo acceso a largo plazo a la red.

Tras eludir la autenticación, los actores supuestamente degradaron versiones de software para explotar CVE-2022-20775, una vulnerabilidad de recorrido de ruta, para escalar a root, y luego restauraron las versiones originales para evadir la detección. Esta cadena destaca tácticas sofisticadas que apuntan a dispositivos de borde de red para establecer puntos de apoyo. Incidentes reportados por socios de inteligencia confirman la compromisión de planos de gestión/control expuestos a Internet.

Cisco Talos atribuye los ataques a UAT-8616, evaluado como un actor altamente sofisticado con alta confianza. El grupo se enfoca en SD-WAN para obtener acceso persistente en sectores críticos, continuando una tendencia de ataques a dispositivos de borde. Aún no se han detallado IOCs públicos, pero las guías de búsqueda de socios enfatizan revisar configuraciones de peers e historiales de versiones.

Producto	Versiones afectadas	Versiones corregidas
SD-WAN Controller (vSmart)	20.3.1 – 20.14.3, 20.15.1	20.14.4, 20.15.2
SD-WAN Manager (vManage)	20.3.1 – 20.14.3, 20.15.1	20.14.4, 20.15.2

La verificación implica inventariar puertos expuestos y auditar registros NETCONF en busca de anomalías. Las mitigaciones temporales incluyen restringir el acceso al plano de gestión y monitorear peers no autorizados.

La CISA añadió CVE-2026-20127 y CVE-2022-20775 a su Catálogo de Vulnerabilidades Explotadas Conocidas el 25 de febrero de 2026. La Directiva de Emergencia 26-03 ordena a las agencias FCEB inventariar sistemas SD-WAN, aplicar parches en 21 días y buscar indicadores de compromiso. El Centro Australiano de Seguridad Cibernética y el Centro Canadiense de Ciberseguridad emitieron alertas paralelas, señalando adiciones reales de peers maliciosos.

Pasos de mitigación

• Aplica inmediatamente los parches de Cisco según el aviso.
• Inventaria todas las implementaciones de SD-WAN, enfocándote en controladores expuestos a Internet.
• Escanea peers maliciosos mediante CLI: show sdwan omp peers detail y revisa sesiones NETCONF.
• Habilita el registro de fallos de autenticación y cambios de versión; restablece configuraciones comprometidas si se detectan.
• Contacta al soporte técnico de Cisco (TAC) y sigue las guías de búsqueda de Talos.

Las organizaciones en infraestructuras críticas deben priorizar las revisiones, ya que UAT-8616 busca persistencia duradera. La adopción más amplia de cero confianza para dispositivos de borde contrarresta estas tendencias.

Fuentes:
https://cybersecuritynews.com/cisco-sd-wan-0-day-vulnerability/