Cisco ha emitido una advertencia urgente dirigida a las organizaciones que utilizan su solución Catalyst SD-WAN Manager. Se ha detectado la explotación activa de una vulnerabilidad crítica, identificada como CVE-2026-76504, que permite a atacantes remotos obtener acceso con privilegios de administrador sin necesidad de credenciales válidas.
Una amenaza de nivel máximo: CVSS 9.8
Esta vulnerabilidad ha sido calificada con una puntuación de 9.8 sobre 10 en la escala CVSS, lo que subraya su extrema gravedad. El fallo reside en la forma en que la API del sistema gestiona las sesiones de inicio de sesión. Específicamente, el sistema no procesa correctamente la codificación URI en las solicitudes HTTP.
Un atacante puede enviar una solicitud especialmente diseñada para eludir las reglas de autenticación destinadas a restringir el acceso a los endpoints de la API. Al lograr esto, el atacante asume el rol de usuario ‘admin’, el cual, por defecto, posee permisos de netadmin para realizar cualquier operación en el dispositivo y, potencialmente, en la red gestionada.
Contexto Técnico y Explotación Activa
El equipo de respuesta a incidentes de seguridad de productos de Cisco (PSIRT) confirmó que tuvo conocimiento de la explotación de este fallo en septiembre de 2026. La vulnerabilidad fue descubierta inicialmente por el Centro de Asistencia Técnica (TAC) de Cisco mientras atendía un caso de soporte, lo que indica que el fallo ya estaba siendo aprovechado en entornos reales.
El método de ataque implica el uso de caracteres codificados (como %6a en lugar de la letra ‘j’) en la ruta de la solicitud j_security_check. Este simple cambio permite engañar al mecanismo de validación y obtener acceso directo a las funciones administrativas.
¿Qué sistemas están en riesgo?
El fallo afecta al SD-WAN Manager independientemente de su configuración. Cisco ha publicado actualizaciones para las principales ramas de su software:
- Versiones anteriores a 20.9: Se requiere migrar a una versión con parche.
- Rama 20.9: Actualizar a 20.9.10.1 o superior.
- Rama 20.12: Actualizar a 20.12.8.2 o superior.
- Rama 20.15: Actualizar a 20.15.6.1 o superior.
- Rama 26.x: Actualizar a 26.1.2.1 o 26.2.1.
Recomendaciones de Intedya para la Continuidad de Negocio
Desde una perspectiva de gestión de riesgos y ciberseguridad corporativa, recomendamos las siguientes acciones inmediatas:
- Actualización Inmediata: No existe una solución alternativa (workaround) definitiva más allá de aplicar los parches oficiales de Cisco.
- Restricción de Acceso: Si no es posible actualizar de inmediato, asegúrese de que las interfaces administrativas (puertos 443, 22 y 830) no estén expuestas directamente a Internet. Utilice hosts de salto (jump hosts) o subredes de gestión protegidas por firewalls.
- Auditoría de Logs: Revisar los archivos
serviceproxy-access.logyvmanage-server.logen busca de entradas sospechosas que contengan variaciones dej_security_checkdesde direcciones IP desconocidas. - Verificación de Cuentas: Prestar especial atención a actividades inusuales en cuentas de servicio del sistema que comiencen con el prefijo
viptela-reserved-.
La seguridad de las redes SD-WAN es crítica, ya que estas infraestructuras centralizan el control de la conectividad de toda la organización. Ignorar este tipo de vulnerabilidades expone a la empresa a espionaje industrial, interrupción de servicios y pérdida de integridad de los datos.
Fuentes
- The Hacker News — Cisco Warns of Attackers Exploiting Critical Authentication Bypass in SD-WAN Manager
https://thehackernews.com/2026/09/cisco-warns-of-attackers-exploiting.html