CISA ha incluido en su catálogo de vulnerabilidades explotadas un fallo crítico de elusión de autenticación (CVE-2026-20182) en el controlador Cisco Catalyst SD-WAN. Esta vulnerabilidad, con una gravedad máxima de 10.0, permite a atacantes remotos obtener privilegios administrativos. Se ha detectado que múltiples grupos de amenazas están aprovechando este y otros fallos para desplegar malware, mineros de criptomonedas y robo de credenciales.





La Agencia de Seguridad e Infraestructura de Ciberseguridad de EE. UU. (CISA) añadió el jueves una vulnerabilidad recién revelada que afecta al controlador de Cisco Catalyst SD-WAN a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo que las agencias de la Rama Ejecutiva Civil Federal (FCEB) solucionen el problema antes del 17 de mayo de 2026.

La vulnerabilidad es una omisión de autenticación crítica rastreada como CVE-2026-20182. Tiene una calificación de 10.0 en el sistema de puntuación CVSS, lo que indica la máxima severidad.

"El controlador y el gestor de Cisco Catalyst SD-WAN contienen una vulnerabilidad de omisión de autenticación que permite a un atacante remoto no autenticado omitir la autenticación y obtener privilegios administrativos en un sistema afectado", afirmó la CISA en su catálogo.

En un aviso separado, Cisco atribuyó la explotación activa de CVE-2026-20182 con alta confianza a UAT-8616, el mismo grupo detrás de la instrumentalización de CVE-2026-20127 para obtener acceso no autorizado a sistemas SD-WAN.

"UAT-8616 realizó acciones post-compromiso similares tras explotar con éxito CVE-2026-20182, tal como se observó en la explotación de CVE-2026-20127 por el mismo actor de amenazas", señaló Cisco Talos. "UAT-8616 intentó añadir claves SSH, modificar configuraciones NETCONF y escalar a privilegios de root".

Se evalúa que la infraestructura utilizada por UAT-8616 para llevar a cabo la explotación y las actividades post-compromiso se solapa con las redes de Operational Relay Box (ORB), y la empresa de ciberseguridad también observó múltiples grupos de amenazas explotando CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122 a partir de marzo de 2026.

Las tres vulnerabilidades, cuando se encadenan, pueden permitir que un atacante remoto no autenticado obtenga acceso no autorizado al dispositivo. Fueron añadidas al catálogo KEV de CISA el mes pasado.

Se ha descubierto que la actividad aprovecha código de explotación de prueba de concepto disponible públicamente para desplegar web shells en sistemas hackeados, lo que permite a los operadores ejecutar comandos bash arbitrarios. Una de estas web shells basadas en JavaServer Pages (JSP) ha sido denominada XenShell debido al uso de un PoC publicado por ZeroZenX Labs.

Al menos 10 grupos diferentes han sido vinculados a la explotación de los tres fallos:

• * Grupo 1 (Activo desde al menos el 6 de marzo de 2026), que despliega la web shell Godzilla
• * Grupo 2 (Activo desde al menos el 10 de marzo de 2026), que despliega la web shell Behinder
• * Grupo 3 (Activo desde al menos el 4 de marzo de 2026), que despliega la web shell XenShell y una variante de Behinder
• * Grupo 4 (Activo desde al menos el 3 de marzo de 2026), que despliega una variante de la web shell Godzilla
• * Grupo 5 (Activo desde al menos el 13 de marzo de 2026), cuyo agente de malware fue compilado a partir del marco de red teaming AdaptixC2
• * Grupo 6 (Activo desde al menos el 5 de marzo de 2026), que despliega el marco de comando y control (C2) Sliver
• * Grupo 7 (Activo desde al menos el 25 de marzo de 2026), que despliega un minero XMRig
• * Grupo 8 (Activo desde al menos el 10 de marzo de 2026), que despliega la herramienta de mapeo de activos KScan y un backdoor basado en Nim, probablemente basado en NimPlant, que incluye capacidades para realizar operaciones de archivos, ejecutar archivos mediante bash y recopilar información del sistema
• * Grupo 9 (Activo desde al menos el 17 de marzo de 2026), que despliega un minero XMRig y una herramienta de túnel y proxy basada en pares llamada gsocket
• * Grupo 10 (Activo desde al menos el 13 de marzo de 2026), que despliega un robador de credenciales que intenta obtener el hashdump de un usuario administrador, fragmentos de claves JSON Web Tokens (JWT) utilizados para la autenticación de la API REST y credenciales de AWS para vManage

Cisco recomienda que los clientes sigan la guía y las recomendaciones detalladas en los avisos de las vulnerabilidades mencionadas para proteger sus entornos.

Fuente:
THN