Se ha detectado una vulnerabilidad zero-day de severidad máxima en el Cisco Catalyst SD-WAN Controller, la cual está siendo explotada activamente. Este fallo, identificado como CVE-2026-20182 y con una puntuación CVSS de 10.0, permite que atacantes remotos no autenticados evadan completamente la seguridad y obtengan el control administrativo de la infraestructura de red de las empresas, afectando a entornos en la nube, gubernamentales y locales.

Una vulnerabilidad de día cero de severidad máxima en Cisco Catalyst SD-WAN Controller está siendo explotada activamente, lo que permite a atacantes remotos no autenticados eludir completamente la autenticación y tomar el control administrativo de la infraestructura de red empresarial.

Identificada como CVE-2026-20182 con una puntuación CVSS de 10.0, este fallo pone en riesgo crítico los despliegues de SD-WAN en entornos locales, en la nube y gubernamentales.

Cisco Catalyst SD-WAN Controller 0-Day

Descubierto por los investigadores de Rapid7 Labs Stephen Fewer y Jonah Burgess mientras investigaban una vulnerabilidad previa de SD-WAN (CVE-2026-20127), el nuevo fallo reside en el servicio vdaemon que opera sobre DTLS en el puerto UDP 12346, el mismo servicio de peering del plano de control explotado en febrero de 2026.

La vulnerabilidad se origina en un vacío lógico dentro de la función vbond_proc_challenge_ack(), que realiza la verificación de certificados específicos según el tipo de dispositivo durante el saludo (handshake) de la conexión de control.

La lógica de autenticación valida a los pares que se identifican como vSmart (tipo 3), vManage (tipo 5) y vEdge (tipo 1), pero no contiene código de verificación para vHub (tipo de dispositivo 2).

Un atacante que envíe un mensaje CHALLENGE_ACK afirmando ser un vHub elude todas las comprobaciones de certificados, provocando que la bandera de autenticación del par se establezca incondicionalmente en true.

Para la explotación no se requieren credenciales válidas, ni certificados firmados por una CA, ni conocimiento de la topología de la SD-WAN objetivo.

Según los investigadores de Rapid7, la cadena completa del exploit es notablemente simplificada: saludo DTLS con cualquier certificado autofirmado → recibir CHALLENGE → enviar CHALLENGE_ACK con tipo de dispositivo 2 (vHub) → bandera de autenticación activada → enviar mensaje Hello → el par pasa al estado UP como un nodo del plano de control totalmente confiable.

Una vez autenticado, el atacante abusa del manejador de mensajes MSG_VMANAGE_TO_PEER (vbond_proc_vmanage_to_peer()), que añade claves públicas SSH controladas por el atacante directamente a /home/vmanage-admin/.ssh/authorized_keys, sin ningún saneamiento de entrada.

Esto convierte una sesión de peering transitoria en un acceso SSH persistente e independiente de credenciales al servicio NETCONF en el puerto TCP 830, utilizando la cuenta de altos privilegios vmanage-admin.

Usando esta cuenta, un atacante puede emitir comandos NETCONF arbitrarios para leer y manipular las configuraciones de red en funcionamiento en todo el tejido SD-WAN.

Rapid7 ha desarrollado un módulo de Metasploit funcional que demuestra la elusión de autenticación de vHub y la inyección de claves, cuya publicación completa está programada para el 27 de mayo de 2026.

CVE-2026-20182 afecta a Cisco Catalyst SD-WAN Controller y SD-WAN Manager independientemente de la configuración, abarcando todos los tipos de despliegue, incluidos On-Prem, SD-WAN Cloud-Pro, Cisco Managed Cloud y SD-WAN para Gobierno (FedRAMP).

El Equipo de Respuesta a Incidentes de Seguridad de Productos de Cisco (PSIRT) confirmó una explotación activa limitada de la vulnerabilidad en mayo de 2026.

Si eres defensor de la red, debes auditar /var/log/auth.log en busca de entradas que muestren Accepted publickey for vmanage-admin desde direcciones IP no autorizadas.

También deberías ejecutar show control connections detail o show control connections-history detail desde las CLI del Controlador/Manager, buscando que aparezca state:up junto con challenge-ack: 0, lo cual indica que un par fue autenticado sin completar el saludo de desafío.

Indicadores de Compromiso (IOC)

Tipo de IOC	Valor / Descripción
Archivo de Log	/var/log/auth.log
Entrada Sospechosa	Accepted publickey for vmanage-admin desde IP desconocida
Archivo Inyectado	/home/vmanage-admin/.ssh/authorized_keys (clave no autorizada añadida)
Puerto Sospechoso	DTLS UDP/12346 (vdaemon), TCP/830 (NETCONF SSH)
CVE	CVE-2026-20182
Puntuación CVSS	10.0 (Crítica)
CWE	CWE-287: Autenticación Incorrecta

Cisco ha confirmado que no existen soluciones temporales para esta vulnerabilidad: el parcheo es la única remediación.

Antes de actualizar, debes ejecutar el comando request admin-tech en todos los componentes de control para preservar posibles evidencias forenses de un compromiso.

Las versiones corregidas clave incluyen 20.12.5.4 / 20.12.6.2 / 20.12.7.1 para la rama 20.12, 20.15.4.4 / 20.15.5.2 para 20.15, 20.18.2.2 para 20.18, y 26.1.1.1 para la rama 26.1.

Las versiones anteriores a la 20.9, así como las versiones 20.10, 20.11, 20.13, 20.14 y 20.16, han llegado al fin de su mantenimiento de software y debes migrar a una versión corregida compatible.

Fuentes:
https://cybersecuritynews.com/cisco-catalyst-sd-wan-controller-0-day/