El día cero del SD-WAN Manager de Cisco permite a los atacantes entrar como administradores

Cisco reveló y parcheó el 30 de septiembre de 2026 un fallo crítico de omisión de autenticación en su Catalyst SD-WAN Manager, y advirtió de que los atacantes ya lo estaban usando. El fallo, registrado como CVE-2026-76504, tiene una puntuación CVSS de 9.8 y permite que un atacante remoto no autenticado llegue a un punto de API con los privilegios del usuario administrador integrado, según el aviso de seguridad de Cisco. El equipo de respuesta a incidentes de seguridad de producto de Cisco tuvo conocimiento de la explotación activa en septiembre de 2026, y la empresa no enumera ninguna solución alternativa que elimine el fallo.

Lectura relacionada: El día cero de FortiMail de Fortinet permite a los atacantes escribir archivos sin iniciar sesión · Dos días cero de Citrix NetScaler, tres semanas sin detectar y ahora explotación masiva.

Catalyst SD-WAN Manager, antes SD-WAN vManage, es la consola que usan los administradores para configurar y supervisar una red de área amplia definida por software. Cisco dice que una sola instalación puede gestionar hasta 6.000 dispositivos SD-WAN, según informó BleepingComputer. Una vulnerabilidad que termina en una sesión de administrador en esa consola es una vulnerabilidad contra todos los dispositivos que la consola supervisa.

Qué hace realmente el fallo

El aviso encuadra el fallo en la gestión de autenticación basada en sesión de API y lo clasifica como CWE-177, tratamiento inadecuado de la codificación de URL. La descripción de Cisco es concreta. El tratamiento inadecuado de la codificación de URI en una solicitud HTTP permite que esa solicitud eluda una regla de autenticación destinada a restringir un único punto de API, y una explotación con éxito llega a ese punto como el usuario administrador. El atacante no aporta ninguna credencial.

El vector CVSS explica por qué la puntuación es 9.8. Indica red como vector de ataque, baja como complejidad de ataque, ninguna como privilegios requeridos y ninguna como interacción del usuario, con impacto alto en confidencialidad, integridad y disponibilidad. En términos llanos, un atacante que pueda llegar a la interfaz de gestión no necesita cuenta y no tiene que engañar a un administrador para que haga clic en nada. La puntuación es la del fabricante, y coincide con el propio resumen del aviso de que el fallo es explotable por un atacante remoto no autenticado.

La mayoría de las omisiones de autenticación fallan porque se salta por completo una comprobación. Esta parece fallar porque una comparación de cadenas se confunde con la codificación. La solicitud lleva un carácter en su forma codificada en porcentaje, y la regla que protege el punto de API compara con el literal. La guía de indicadores de compromiso de Cisco muestra la forma. Su ejemplo usa %6a, la letra «j» codificada como URI, en una solicitud a j_security_check, el punto que usan las aplicaciones web Java para el inicio de sesión basado en formulario. El aviso insiste en que %6a es solo un ejemplo y que codificar cualquier carácter individual puede servir para explotar el fallo. Bloquear %6a atrapa la muestra del registro; el siguiente actor codifica un carácter distinto.

«Esta vulnerabilidad se debe a un tratamiento inadecuado de la codificación de URI en una solicitud HTTP, que permite que la solicitud eluda una regla de autenticación destinada a restringir el acceso a un punto de API concreto.» — aviso de seguridad de Cisco, cisco-sa-sdwan-webauth-xr8beuuU, 30 de septiembre de 2026

Cisco incluye como producto afectado el Catalyst SD-WAN Manager con independencia de la configuración del sistema. No hay ningún ajuste que desactivar, ningún rol que evite la ruta y ninguna configuración que cambie la exposición. La única solución es el software corregido.

El plano de gestión es el premio

SD-WAN separa el plano de control del plano de datos, y el Manager se sitúa por encima de ambos como sistema de registro para la configuración y la supervisión. Un atacante que llegue a él como administrador puede leer la topología, aplicar políticas, cambiar el enrutamiento y ajustar las cuentas que administran la red. El radio de daño se extiende más allá de la consola hasta los dispositivos que confían en ella.

Catalyst SD-WAN Manager no es un panel pasivo. Almacena las plantillas de configuración y las políticas que se envían a los routers y dispositivos de borde, y guarda credenciales y certificados que la red usa para confiar en sí misma. El aviso sitúa el fallo en la gestión de autenticación basada en sesión de API, la capa que decide si una solicitud puede actuar como un usuario con la sesión iniciada. Superarla significa que la solicitud del atacante se trata como la de un administrador, y la sesión que sigue se comporta como tal.

Eso es también lo que hace que este fallo encaje en un patrón. BleepingComputer contabilizó CVE-2026-76504 como el quinto día cero de SD-WAN explotado activamente en 2026. Cisco parcheó CVE-2026-20127 en febrero, un fallo que se había explotado al menos desde 2023. En mayo advirtió de que CVE-2026-20182, una omisión de autenticación de gravedad máxima en el Catalyst SD-WAN Controller, estaba bajo ataque de día cero para obtener privilegios de administrador. A principios de junio abordó CVE-2026-20245 y CVE-2026-20262, otros dos días cero de SD-WAN usados para obtener root en sistemas vulnerables. Cinco en diez meses, todos en la misma familia de productos.

El recuento más amplio es mayor. Desde noviembre de 2021, la CISA ha marcado 90 vulnerabilidades de Cisco como explotadas en la naturaleza, entre ellas cuatro en Catalyst SD-WAN Manager y siete usadas por operaciones de ransomware, según el mismo informe. Los productos de Cisco se sitúan en el borde de las redes corporativas, donde un fallo es alcanzable antes de que nadie inicie sesión.

El reloj de tres días

La CISA añadió CVE-2026-76504 a su catálogo de Vulnerabilidades Explotadas Conocidas el 30 de septiembre y, en la misma alerta, ordenó a las agencias civiles federales de EE. UU. asegurar sus sistemas antes del sábado 3 de octubre de 2026. Tres días naturales, dos de ellos laborables.

El plazo del KEV no es un calendario de parches para todos; vincula a las agencias federales y señaliza la gravedad al sector privado. La ventana de tres días es corta y responde a un cálculo sencillo: el fallo es alcanzable de forma remota, no necesita autenticación y ya está en uso.

Cómo comprobar si te han atacado

Cisco publicó indicadores de compromiso y registros concretos que auditar. El aviso dirige a los administradores al archivo serviceproxy-access.log, en /var/log/nms/containers/service-proxy/, y al archivo vmanage-server.log, en /var/log/nms/, en busca de entradas relacionadas con j_security_check desde direcciones IP desconocidas o no autorizadas. En vmanage-server.log, Cisco señala las llamadas hechas para usuarios cuyos nombres empiezan por viptela-reserved-, las cuentas de servicio internas. Cisco también publicó la regla 67179 de Snort para la detección.

En el aviso hay dos notas prácticas. La primera es que estos indicadores pueden aparecer durante las operaciones normales, así que deben sopesarse frente al tráfico habitual de una instalación en lugar de leerse como una prueba. La segunda es de procedimiento. Antes de abrir un caso al TAC, Cisco pide a los clientes que ejecuten el comando request admin-tech para que se pueda revisar el archivo recopilado, y sugiere abrir el caso con Severidad 3 y CVE-2026-76504 en el título.

Para las organizaciones que no pueden parchear de inmediato, Cisco recomienda limitar la exposición desde redes no confiables. Las instalaciones locales deberían situarse detrás de un cortafuegos que solo permita a hosts conocidos y de confianza llegar a los componentes de control. Cisco dice que las instalaciones alojadas en la nube ya cuentan con esa mitigación.

Las versiones corregidas

La tabla de versiones corregidas de Cisco asigna a cada rama su primera compilación parcheada:

• Anterior a 20.9: migrar a una versión corregida.
• 20.9: 20.9.10.1
• 20.12: 20.12.8.2
• 20.15: 20.15.6.1
• 20.18: 20.18.4.1
• 26.1: 26.1.2.1
• 26.2: 26.2.1

Cisco también corrigió el fallo en la versión 20.15.605 de Cisco SD-WAN Cloud (Cisco Managed), que está en la nube y no requiere acción del usuario. Los operadores locales deben actualizar. La entrada de NVD de Cisco y la cobertura de SecurityWeek del 1 de octubre incluyen la misma valoración de gravedad y la misma lista de versiones.

Salvedades

Tres cosas que el aviso no dice, y que no deberían rellenarse.

Cisco no atribuyó la explotación a ningún grupo con nombre. El aviso describe la explotación activa y ofrece indicadores, sin nombrar a ningún actor. Tampoco se publicaron una lista de víctimas ni un recuento de organizaciones afectadas, así que cualquier cifra que circule en internet no procede de Cisco. The Hacker News e Infosecurity Magazine cubrieron el mismo aviso el 30 de septiembre y el 2 de octubre, respectivamente, y ninguno añadió atribución.

La guía de detección es un punto de partida, no una alarma. Cisco dice que los patrones de IOC pueden aparecer durante operaciones estándar, lo que significa que una coincidencia es motivo para investigar, no un hallazgo por sí sola. El carácter codificado en porcentaje visto en la naturaleza es un ejemplo, no una lista exhaustiva de lo que podría enviar un atacante.

La tercera es el alcance. Cisco dice que el fallo se encontró durante la resolución de un caso de soporte del TAC, lo que explica cómo salió a la luz y no cuánto tiempo se abusó de él. El registro de explotación del aviso comienza cuando el PSIRT tuvo conocimiento, en septiembre de 2026, y esa es la frontera pública de lo que se sabe. Cisco revisó el aviso a la versión 1.1 el 2 de octubre de 2026, cuando añadió los detalles del escudo Live Protect; la valoración de gravedad y las versiones corregidas no cambiaron.

Qué observar

• Finalización del parcheo. El plazo federal era el 3 de octubre. Si la base de instalaciones más amplia se movió igual de rápido es la cifra que importa, y Cisco no la ha publicado.
• Indicadores actualizados. El IOC publicado es un carácter codificado. Si Cisco añade variantes, los defensores que escribieron una sola firma tendrán que ampliarla.
• El próximo fallo. Cinco días cero de SD-WAN en diez meses son una tasa, no un incidente. Los días cero de NetScaler de Citrix se explotaron masivamente la misma semana, y ambas líneas de producto están en el borde de las redes corporativas.
• Exposición a internet. La solución más duradera es arquitectónica: los componentes de control que no son alcanzables desde internet no están al alcance de un atacante remoto no autenticado.

Cisco no ha nombrado a los atacantes, no ha publicado una lista de víctimas ni ha dicho a cuántos sistemas se llegó. Las versiones corregidas están publicadas y el primer plazo federal ya ha pasado.

Portada: sede de Cisco Systems en San José (California). Foto de Travis Wise vía Wikimedia Commons, CC BY 2.0.