Cisco SD-WAN Manager: sin workaround, verifica las intrusiones

La vulnerabilidad CVE-2026-76504 de Cisco Catalyst SD-WAN Manager, que permite eludir la autenticación de las API y obtener privilegios de administrador, ya se está explotando: el boletín, las versiones corregidas y las primeras medidas se describen en el artículo del 30 de septiembre. Desde entonces han surgido algunos detalles útiles para quien gestiona la plataforma: según Infosecurity Magazine no existen alternativas a la actualización, los entornos alojados en la nube de Cisco ya han recibido una mitigación y Rapid7 recomienda comprobar si los sistemas han sido comprometidos. El 9 de octubre también el SK-CERT eslovaco publicó un aviso.

Las fuentes de esta actualización son dos y casi todos los detalles proceden de un solo medio, Infosecurity Magazine: a continuación cada dato se atribuye a su fuente.

Sin workaround: hace falta la actualización

Según Infosecurity Magazine, Cisco precisa que no existen workarounds capaces de eliminar la vulnerabilidad sin instalar la actualización de seguridad. Las medidas para reducir la exposición indicadas en el boletín (nada de acceso directo desde Internet, conexiones de gestión solo desde direcciones conocidas, cortafuegos) siguen siendo útiles para bajar el riesgo, pero no corrigen el fallo: un Manager con una versión vulnerable puede ser atacado por cualquiera que llegue a su interfaz.

El medio recuerda también la causa: la gestión incorrecta de la codificación de las URI en las peticiones HTTP permite que una petición manipulada eluda las reglas de autenticación y llegue a las API con los permisos de un administrador. Siempre según Infosecurity Magazine, todos los Manager con puertos expuestos en Internet están potencialmente en riesgo.

Entornos en la nube de Cisco: mitigación ya aplicada

Infosecurity Magazine informa de que Cisco ya ha aplicado una mitigación en los entornos Cisco Catalyst SD-WAN Cloud Hosted. El fabricante añade una advertencia: la mitigación funcionó en un entorno de pruebas, pero corresponde a los clientes comprobar que sea aplicable y eficaz en su propio entorno y en sus condiciones de uso.

La distinción tiene consecuencias prácticas:

• Manager instalados por tu cuenta, en el centro de datos o en una nube gestionada por tu empresa: la actualización a una versión corregida es responsabilidad tuya;
• entornos Cloud Hosted: la mitigación la aplicó Cisco, pero comprobar su eficacia sigue correspondiendo al cliente.

Después de actualizar: buscar el compromiso

La indicación más práctica viene de Rapid7. En una publicación del 1 de octubre, citada por Infosecurity Magazine, la empresa recomienda pasar a una versión corregida sin esperar al ciclo habitual de parches y, como la explotación ya se ha producido, comprobar si los sistemas afectados han sido comprometidos.

La actualización cierra el fallo, pero no deshace lo que un atacante haya podido hacer antes. Según Infosecurity Magazine, con acceso a las API como administrador un atacante podría moverse por la red gestionada y modificar o borrar archivos y copias de seguridad. Las fuentes no describen ataques reales con estas consecuencias: se trata de lo que ese acceso haría posible. En términos de MITRE ATT&CK, tras la explotación inicial (T1190, Exploit Public-Facing Application), el borrado de las copias de seguridad entraría en T1490 (Inhibit System Recovery) y el de los archivos en T1485 (Data Destruction).

Ninguna de las dos fuentes menciona actores, campañas, sectores afectados ni indicadores de compromiso nuevos respecto a los del boletín de Cisco.

El contexto

• SK-CERT: el 9 de octubre, nueve días después del boletín, el CSIRT nacional eslovaco publicó un aviso titulado «VAROVANIE» (advertencia) sobre una vulnerabilidad zero-day crítica y explotada activamente en Cisco Catalyst SD-WAN.
• CISA: como ya informamos, la vulnerabilidad figura en el catálogo Known Exploited Vulnerabilities; Infosecurity Magazine recuerda que la agencia recomienda aplicar las mitigaciones.
• Cisco ISE: Infosecurity Magazine recuerda que en septiembre Cisco advirtió de la explotación activa de CVE-2026-76460, con una puntuación CVSS de 10, en Cisco Identity Services Engine (ISE), otro producto que gobierna la infraestructura de red.

Impacto para las empresas europeas e italianas

Más de una semana después de la corrección, la vulnerabilidad sigue siendo objeto de avisos de CSIRT europeos, como muestra el del SK-CERT. Para quien gestiona redes con muchas sedes, el riesgo para las copias de seguridad descrito por Infosecurity Magazine es el más delicado: si un atacante ha modificado o borrado las copias, la recuperación tras un incidente se vuelve más lenta y menos fiable.

Para las entidades sujetas a NIS2, el caso afecta a dos obligaciones: la gestión de las vulnerabilidades explotadas, con prioridades y plazos documentados, y la continuidad del negocio, que incluye copias de seguridad y recuperación. Un compromiso confirmado debe evaluarse para la notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. En el sector sanitario, donde la SD-WAN puede conectar centros distintos y el acceso a los sistemas clínicos, conviene comprobar las copias de seguridad antes de necesitarlas.

Qué hacer ya

1. Averigua qué modelo usas: Manager instalado por tu cuenta o entorno Cloud Hosted de Cisco.
2. Si lo gestionas tú, actualiza ya a una versión corregida (la lista está en el artículo anterior), sin esperar a la ventana de mantenimiento habitual. No existen workarounds.
3. Si estás en Cloud Hosted, comprueba en tu entorno que la mitigación aplicada por Cisco sea eficaz, como pide el fabricante.
4. Busca indicios de compromiso, como recomienda Rapid7: compara los sistemas con los indicadores del boletín de Cisco y revisa los registros de las llamadas a las API de gestión, las cuentas de administrador y los cambios recientes de configuración.
5. Revisa las copias de seguridad: comprueba que las copias del entorno SD-WAN estén íntegras y completas, y guarda una copia separada a la que el Manager no pueda acceder.
6. Si encuentras rastros de acceso: trata el evento como un incidente, conserva las pruebas antes de restaurar y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas si la interfaz del Manager es accesible desde fuera. ARX Sentry recoge los registros de los cortafuegos y de los demás dispositivos de red en un colector central, útil para buscar accesos anómalos en el periodo anterior a la actualización. ARX Retain conserva los registros en almacenamiento europeo con bloqueo de objetos, que impide modificarlos o borrarlos: los rastros recogidos siguen disponibles para la investigación aunque los sistemas hayan sido alterados.

Última actualización: 9 de octubre de 2026