Cisco ha alertado sobre una vulnerabilidad crítica (CVE-2026-20182) en su Catalyst SD-WAN Controller que permite el bypass de autenticación y el acceso administrativo. Este fallo, ya explotado en ataques "zero-day", permite a los atacantes manipular la configuración de la red e insertar dispositivos maliciosos. Cisco insta a actualizar el software inmediatamente, ya que es la única forma de remediar totalmente el problema.



Cisco advierte que una falla crítica de omisión de autenticación en el Catalyst SD-WAN Controller, identificada como CVE-2026-20182, ha sido explotada activamente en ataques de día cero que permitieron a los atacantes obtener privilegios administrativos en los dispositivos comprometidos.

CVE-2026-20182 tiene una severidad máxima de 10.0 e impacta a Cisco Catalyst SD-WAN Controller y Cisco Catalyst SD-WAN Manager en despliegues locales (on-prem) y en la nube de SD-WAN.

En un aviso publicado hoy, Cisco señaló que el problema se deriva de un mecanismo de autenticación de pares (peering) que "no está funcionando correctamente".

"Esta vulnerabilidad existe porque el mecanismo de autenticación de pares en un sistema afectado no funciona correctamente. Un atacante podría explotar esta vulnerabilidad enviando solicitudes diseñadas al sistema afectado", indica el aviso de Cisco sobre la CVE-2026-20182 [enlace].

"Una explotación exitosa podría permitir al atacante iniciar sesión en un Cisco Catalyst SD-WAN Controller afectado como una cuenta de usuario interna, con altos privilegios y que no sea root. Usando esta cuenta, el atacante podría acceder a NETCONF, lo que le permitiría manipular la configuración de red del tejido SD-WAN".

Cisco Catalyst SD-WAN es una plataforma de red basada en software que conecta oficinas sucursales, centros de datos y entornos de nube a través de un sistema gestionado centralmente. Utiliza un controlador para enrutar el tráfico de forma segura entre sitios mediante conexiones cifradas.

La empresa afirma que detectó a actores de amenazas explotando la falla en mayo, pero no compartió detalles sobre cómo se llevó a cabo la explotación.

Sin embargo, los indicadores de compromiso (IOC) compartidos advierten a los administradores que revisen los registros del controlador SD-WAN en busca de eventos de peering no autorizados, lo que podría indicar intentos de registrar dispositivos maliciosos dentro del tejido SD-WAN.

Al añadir un par malicioso, un atacante podría insertar un dispositivo comprometido en el entorno SD-WAN que parezca legítimo. Ese dispositivo podría entonces establecer conexiones cifradas y anunciar redes bajo el control del atacante, permitiéndole potencialmente avanzar más profundamente en la red de una organización.

La falla fue descubierta por Rapid7 mientras investigaban una vulnerabilidad diferente del controlador Cisco SD-WAN, identificada como CVE-2026-20127, la cual fue corregida en febrero.

CVE-2026-20127 también fue explotada en ataques de día cero por un actor de amenazas rastreado como "UAT-8616" desde 2023 para crear pares maliciosos en organizaciones.

Cisco ha lanzado actualizaciones de seguridad para solucionar la vulnerabilidad y afirma que no existen soluciones alternativas que mitiguen completamente el problema.

La compañía también recomienda restringir el acceso a las interfaces de gestión y del plano de control de SD-WAN únicamente a redes internas confiables o direcciones IP autorizadas, y revisar los registros de autenticación en busca de actividad de inicio de sesión sospechosa.

CISA ha añadido la falla CVE-2026-20182 de Cisco al Catálogo de Vulnerabilidades Conocidas Explotadas, ordenando a las agencias federales parchear los dispositivos afectados antes del 17 de mayo de 2026.

Indicadores de compromiso

Cisco insta a las organizaciones a revisar los registros de cualquier sistema Catalyst SD-WAN Controller expuesto a Internet en busca de eventos que puedan indicar acceso no autorizado o eventos de peering.

La empresa indica que los administradores deben revisar /var/log/auth.log en busca de entradas que muestren "Accepted publickey for vmanage-admin" desde direcciones IP desconocidas:

2026-02-10T22:51:36+00:00 vm sshd[804]: Accepted publickey for vmanage-admin from port [REDACTED PORT] ssh2: RSA SHA256:[REDACTED KEY]

Los administradores deben comparar las direcciones IP de los registros con las IP del sistema configuradas que aparecen en la interfaz web de Cisco Catalyst SD-WAN Manager, bajo WebUI > Devices > System IP.

Si una dirección IP desconocida se autenticó correctamente, los administradores deben considerar que el dispositivo está comprometido y abrir un caso en el TAC de Cisco.

Cisco también recomienda revisar los registros del controlador SD-WAN en busca de actividad de peering no autorizada, ya que los atacantes pueden intentar registrar dispositivos maliciosos dentro del tejido SD-WAN.

Jul 26 22:03:33 vSmart-01 VDAEMON_0[2571]: %Viptela-vSmart-VDAEMON_0-5-NTCE-1000001: control-connection-state-change new-state:up peer-type:vmanagepeer-system-ip:1.1.1.10 public-ip:192.168.3.20 public-port:12345 domain-id:1 site-id:1005

Cisco recomienda encarecidamente actualizar a una versión de software corregida, ya que es la única forma de remediar completamente la CVE-2026-20182.

Fuente:
BleepingComputer