Cisco SD-WAN Manager: omisión de autenticación ya explotada

📌 Novedades posteriores: Cisco SD-WAN Manager: sin workaround, verifica las intrusiones (1 de octubre de 2026)

El 30 de septiembre de 2026 Cisco publicó el boletín de seguridad cisco-sa-sdwan-webauth-xr8beuuU para CVE-2026-76504, una vulnerabilidad de Cisco Catalyst SD-WAN Manager que permite eludir la autenticación de las API. Según el fabricante, la vulnerabilidad ya se está explotando activamente. Ese mismo día la CISA la incluyó en el catálogo Known Exploited Vulnerabilities (KEV), con plazo hasta el 3 de octubre de 2026 para las agencias federales estadounidenses.

En los días siguientes también publicaron sus avisos varios CSIRT nacionales: el NCSC neerlandés (NCSC-2026-0395), el NCSC finlandés de Traficom, el CERT-FR de la ANSSI (CERTFR-2026-AVI-1246) y el Canadian Centre for Cyber Security (AV26-978).

Qué ha pasado

Catalyst SD-WAN Manager es la consola central desde la que se configura y se gestiona una red SD-WAN de Cisco. El boletín del fabricante describe una vulnerabilidad de omisión de la autenticación de las API: un atacante remoto, sin credenciales, puede obtener acceso a la interfaz de gestión.

El NCSC finlandés clasifica la vulnerabilidad como crítica, con un CVSS 3.1 de 9,8, y explica que permite el control remoto del sistema con privilegios de administrador sin ninguna autenticación. El CERT-FR resume el riesgo como una elusión de la política de seguridad e indica que Cisco señala la vulnerabilidad como explotada activamente.

Detalles técnicos

• CVE: CVE-2026-76504, CVSS 3.1 de 9,8 según el NCSC finlandés.
• Producto: Cisco Catalyst SD-WAN Manager. Según el NCSC finlandés, están afectadas todas las instalaciones con una versión sin corregir, independientemente de la configuración.
• Causa: según el aviso finlandés, el fallo está en una gestión incorrecta de la codificación de las URI en el control de autenticación de las API. Una petición API manipulada elude la regla de autenticación y llega a las API sin las comprobaciones normales. En el catálogo KEV la vulnerabilidad figura como “Hex Encoding Vulnerability”.
• Vector: red, en remoto y sin autenticación.
• Efectos descritos: acceso a la interfaz de gestión, privilegios de nivel administrador y control completo del entorno SD-WAN.
• Explotación: confirmada por Cisco. Por ahora el catálogo KEV no indica un uso conocido en campañas de ransomware (“Unknown”).
• MITRE ATT&CK: cuando el Manager es accesible desde Internet, la explotación corresponde a T1190 (Exploit Public-Facing Application).
• Indicadores: Cisco ha publicado en el boletín indicadores de compromiso, útiles para saber si un sistema ya ha sido vulnerado.

Versiones corregidas

Las correcciones están incluidas en estas versiones y en las posteriores:

• 20.9.10.1;
• 20.12.8.2;
• 20.15.6.1;
• 20.18.4.1;
• 26.1.2.1;
• 26.2.1.

Las versiones anteriores a la 20.9 deben migrarse a una versión con soporte y corregida.

Impacto para las empresas europeas e italianas

Una SD-WAN conecta sedes, sucursales y centros de datos, y el Manager es su punto de mando: quien toma su control con privilegios de administrador controla la configuración de red de todas las sedes gestionadas. Por eso el riesgo es alto sobre todo para las organizaciones con muchas sedes, incluidas las entidades sanitarias con varios centros, donde la red entre sedes también puede dar acceso a los sistemas clínicos.

El NCSC finlandés señala que el riesgo es especialmente alto para los sistemas accesibles directamente desde Internet o con puertos abiertos hacia la red pública.

Para las entidades sujetas a NIS2, una intrusión en la consola que gobierna la red de área extensa puede convertirse en un incidente que hay que valorar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Una vulnerabilidad explotada e incluida en el KEV es también un caso típico en el que la gestión de vulnerabilidades debe demostrar prioridades y plazos de corrección documentados.

Qué hacer ahora

1. Localiza las instancias: haz una lista de todos los Catalyst SD-WAN Manager, incluidos los de laboratorio o de recuperación ante desastres, y comprueba la versión instalada.
2. Actualiza sin esperar: lleva cada instancia a una de las versiones corregidas indicadas o a una posterior. Si estás en una versión anterior a la 20.9, planifica ya la migración a una versión con soporte.
3. Reduce la exposición, como recomienda Cisco:
   • elimina el acceso directo desde Internet al Manager;
   • permite las conexiones de gestión solo desde direcciones IP conocidas;
   • protege el sistema con un firewall.
4. Busca indicios de compromiso: compara los sistemas con los indicadores publicados en el boletín de Cisco y revisa los registros del entorno, en particular las llamadas a las API de gestión desde direcciones inesperadas.
5. Comprueba los cambios: si encuentras indicios de acceso no autorizado, revisa las cuentas de administración y los cambios recientes en la configuración de la red SD-WAN, y trata el evento como un posible incidente.
6. Vigila los registros: sigue supervisando el entorno también después de la actualización, como indica Cisco.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una interfaz de gestión como la del SD-WAN Manager es accesible desde fuera. ARX Sentry recoge los registros de los firewalls y de los demás dispositivos de red en un colector central, para que los accesos anómalos al perímetro queden a la vista de los analistas. ARX Horizon permite consultar desde el portal las vulnerabilidades y buscar indicadores de compromiso.

Última actualización: 1 de octubre de 2026