Cisco lanzó actualizaciones críticas para corregir la vulnerabilidad *zero-day* CVE-2026-76504 en Catalyst SD-WAN Manager, la cual está siendo explotada activamente. Este fallo permite que atacantes no autenticados obtengan privilegios de administrador mediante solicitudes HTTP manipuladas. La empresa recomienda actualizar urgentemente el software a las versiones corregidas para mitigar este riesgo.

Cisco lanzó actualizaciones de seguridad para solucionar un zero-day crítico en el Catalyst SD-WAN Manager (rastreado como CVE-2026-76504) que los atacantes están explotando activamente para escalar a privilegios de administrador.

Anteriormente conocido como SD-WAN vManage, Catalyst SD-WAN Manager es un software de gestión de red que permite a los administradores supervisar y gestionar hasta 6.000 dispositivos SD-WAN desde un único panel.

"En septiembre de 2026, el PSIRT de Cisco tuvo conocimiento de la explotación activa de esta vulnerabilidad", advirtió la empresa el miércoles en un comunicado. "Cisco recomienda encarecidamente que los clientes actualicen a una versión de software corregida para remediar esta vulnerabilidad".

La vulnerabilidad CVE-2026-76504 afecta a todas las implementaciones independientemente de la configuración del sistema, se encontró en la gestión de autenticación basada en sesiones de API, y permite que atacantes no autenticados accedan a sistemas vulnerables de forma remota con privilegios de administrador.

"Esta vulnerabilidad se debe a un manejo incorrecto de la codificación URI en una solicitud HTTP, lo que permite que la solicitud eluda una regla de autenticación destinada a restringir el acceso a un endpoint de API específico", añadió Cisco.

"Un atacante podría explotar esta vulnerabilidad enviando una solicitud HTTP manipulada a la API del sistema afectado".

Aunque la empresa no compartió más detalles sobre los ataques que explotan el CVE-2026-76504, compartió indicadores de compromiso (IOC) advirtiendo a los administradores que los actores de amenazas están utilizando %6a como el carácter "j" codificado en URI en solicitudes maliciosas.

También aconsejó a los equipos de seguridad que investiguen sistemas SD-WAN potencialmente comprometidos que revisen el archivo serviceproxy-access.log ubicado en /var/log/nms/containers/service-proxy y el archivo vmanage-server.log en /var/log/nms/ para buscar entradas relacionadas con j_security_check desde direcciones IP desconocidas o no autorizadas.

"Para obtener ayuda sobre si un Cisco Catalyst SD-WAN Manager ha sido comprometido, los clientes pueden abrir un caso con el TAC de Cisco", añadió, aconsejando a los administradores recopilar primero los archivos admin-tech para apoyar la revisión.

Cisco Catalyst SD-WAN Versión Primera Versión Corregida Anterior a 20.9 Migrar a una versión corregida. 20.9 20.9.10.1 20.12 20.12.8.2 20.15 20.15.6.1 20.18 20.18.4.1 26.1 26.1.2.1 26.2 26.2.1

5º zero-day de sd-wan explotado activamente en 2026

CVE-2026-76504 es la quinta vulnerabilidad zero-day de SD-WAN explotada activamente en el entorno real desde principios de año.

Cisco parcheó un fallo de seguridad de divulgación de información de SD-WAN Manager (CVE-2026-20127) en febrero, explotado desde al menos 2023, y marcó un fallo de bypass de autenticación del Catalyst SD-WAN Controller de severidad máxima (CVE-2026-20182) como explotado activamente en ataques zero-day para obtener privilegios de administrador en dispositivos no parcheados en mayo.

Más recientemente, a principios de junio, Cisco advirtió de otros dos zero-days de SD-WAN (CVE-2026-20245 y CVE-2026-20262) que los atacantes explotaron para obtener privilegios de root en sistemas vulnerables.

Desde noviembre de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha marcado 90 vulnerabilidades de Cisco como explotadas en el entorno real, incluyendo cuatro en Cisco Catalyst SD-WAN Manager y siete abusadas por operaciones de ransomware.

Fuente:
BleepingComputer