Un exploit exitoso podría permitir al atacante iniciar sesión en el Cisco Catalyst SD-WAN Controller como una cuenta de usuario interna con altos privilegios y no root, y luego utilizarla para acceder a NETCONF y manipular la configuración de red para la estructura SD-WAN.

La vulnerabilidad afecta a los siguientes despliegues:

* Despliegue On-Prem
* Cisco SD-WAN Cloud-Pro
* Cisco SD-WAN Cloud (Gestionado por Cisco)
* Cisco SD-WAN para el Gobierno (FedRAMP)



Según Rapid7, que descubrió el CVE-2026-20182, la deficiencia tiene ecos en el CVE-2026-20127 (puntuación CVSS: 10.0), otra omisión de autenticación crítica que afecta al mismo componente. Se dice que esta última ha sido explotada por un actor de amenazas llamado UAT-8616 desde al menos 2023.

"Esta nueva vulnerabilidad de omisión de autenticación afecta al servicio 'vdaemon' a través de DTLS (puerto UDP 12346), que es el mismo servicio que era vulnerable al CVE-2026-20127", dijeron los investigadores de Rapid7, Jonah Burgess y Stephen Fewer en su publicación. "La nueva vulnerabilidad no es una omisión del parche del CVE-2026-20127. Es un problema diferente ubicado en una parte similar de la pila de red 'vdaemon'".

Dicho esto, el resultado final es el mismo: un atacante remoto no autenticado puede abusar del CVE-2026-20182 para convertirse en un par autenticado del dispositivo objetivo y llevar a cabo operaciones privilegiadas.

Cisco, en su aviso, señaló que tuvo conocimiento de una "explotación limitada" del fallo en mayo de 2026, instando a los clientes a aplicar las últimas actualizaciones lo antes posible.

La compañía también afirmó que los sistemas Catalyst SD-WAN Controller que son accesibles a través de Internet y que tienen puertos expuestos tienen un mayor riesgo de compromiso. Se recomienda a los clientes auditar el archivo "/var/log/auth.log" en busca de entradas relacionadas con "Accepted publickey for vmanage-admin" desde direcciones IP desconocidas o no autorizadas.

Otro indicador es la presencia de eventos de pares sospechosos en los registros, incluidas conexiones de pares no autorizadas que ocurren en momentos inesperados y se originan desde direcciones IP no reconocidas, o involucran tipos de dispositivos que son inconsistentes con la arquitectura del entorno.

Fuente:
THN