Cisco ha lanzado actualizaciones de endurecimiento de software para su software Catalyst SD-WAN después de que una revisión de seguridad interna descubriera múltiples vulnerabilidades críticas que afectan a la plataforma.

Los fallos fueron identificados proactivamente por el propio equipo de ingeniería de Cisco en lugar de a través de informes externos, y la compañía ha confirmado que no hay evidencia de explotación activa en el entorno real.

Aun así, dada la gravedad de algunos de estos problemas, si eres un administrador que ejecuta Catalyst SD-WAN en cualquier modo de despliegue, debes priorizar el parcheo inmediatamente.

En lugar de emitir avisos separados para cada error, Cisco agrupó las vulnerabilidades por su categoría de Enumeración de Debilidades Comunes (CWE) subyacente y asignó un identificador CVE por grupo, una medida diseñada para simplificar el proceso de divulgación y parcheo para los clientes. Los problemas más graves tienen una puntuación CVSS de 9.9, muy cerca de la calificación máxima posible.

CVE-2026-20303 se deriva de una validación de entrada inadecuada y abarca debilidades relacionadas como el salto de directorio (path traversal) y el control externo de las rutas de archivos.

CVE-2026-20304 cubre el control de acceso inadecuado, agrupando problemas de autorización, autenticación y saltos de privilegios en una sola entrada. CVE-2026-20310 implica una resolución de enlaces inadecuada antes del acceso a archivos, una clase de error que puede permitir a los atacantes manipular enlaces simbólicos para acceder a archivos no deseados.

Juntos, estos tres fallos representan los riesgos más peligrosos de este aviso. Completando la lista, CVE-2026-20312 tiene una puntuación de 8.8 y se relaciona con el almacenamiento en texto claro de información sensible, lo que significa que las credenciales u otros secretos podrían quedar expuestos si el sistema subyacente se ve comprometido. CVE-2026-20313 tiene una puntuación de 7.7 e implica una validación inadecuada de una cantidad especificada en la entrada, una debilidad menos grave pero aún notable.

Las vulnerabilidades afectan al software Cisco Catalyst SD-WAN en todos los modelos de despliegue, independientemente de cómo esté configurado el dispositivo. Eso incluye instalaciones locales, Cisco SD-WAN Cloud-Pro, entornos SD-WAN Cloud gestionados por Cisco y Cisco SD-WAN para el Gobierno bajo FedRAMP.

Ningún ajuste de configuración ni interruptor de función exime a un dispositivo de la exposición, lo que convierte a este aviso en algo de gran alcance para las empresas y agencias gubernamentales que confían en la infraestructura SD-WAN de Cisco.

Cisco ha sido explícito en que no existen soluciones alternativas para ninguna de estas vulnerabilidades, dejando las actualizaciones de software como la única vía de remediación viable. Si tu organización ejecuta versiones de Catalyst SD-WAN anteriores a la 20.9, debes migrar completamente a una versión compatible, ya que esas ramas antiguas no recibirán un parche.

Las compilaciones corregidas incluyen la 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 y 26.1.2, dependiendo de qué rama estés utilizando actualmente. Varias versiones afectadas, incluidas la 20.11, 20.13, 20.14 y 20.16, ya han llegado al fin del mantenimiento de software, por lo que Cisco insta a los clientes que tengan esas versiones a pasarse a una versión compatible actualmente en lugar de simplemente aplicar una corrección puntual.

Si utilizas Cisco SD-WAN Cloud bajo un servicio gestionado por Cisco, no necesitas tomar ninguna medida, ya que el proveedor ya ha aplicado la corrección en la Versión 20.15.602 en el backend. Puedes confirmar tu estado de remediación actual a través de la función de Ayuda dentro de la interfaz gráfica del servicio.

Cabe destacar que Cisco reveló que estos fallos fueron descubiertos utilizando una combinación de procesos de prueba internos tradicionales y modelos de IA de vanguardia, lo que señala un cambio hacia el descubrimiento de vulnerabilidades asistido por IA en la investigación de seguridad empresarial.

Aunque no se ha informado de ninguna explotación pública, las altas puntuaciones CVSS significan que estos errores podrían convertirse en objetivos atractivos una vez que circulen los detalles técnicos. Deberías verificar tu versión actual de Catalyst SD-WAN comparándola con el aviso de Cisco y programar las actualizaciones rápidamente, ya que retrasar el parcheo en infraestructuras SD-WAN expuestas a Internet conlleva un riesgo desproporcionado.