Publicado en

Cisco lanza actualizaciones críticas para Catalyst SD-WAN Manager ante explotación activa

•Publicado enVulnerabilidades

Cisco corrige vulnerabilidad crítica en SD-WAN Manager explotada en entornos reales

Cisco ha emitido una alerta urgente y ha publicado actualizaciones de seguridad para abordar una vulnerabilidad de severidad media en Catalyst SD-WAN Manager (anteriormente conocido como vManage). El fallo, identificado como CVE-2026-20262, está siendo explotado activamente por actores de amenazas, lo que aumenta el riesgo para las infraestructuras de red empresarial.

Detalles técnicos del CVE-2026-20262

La vulnerabilidad se localiza en la interfaz de usuario web (Web UI) de Cisco Catalyst SD-WAN Manager. Según el informe técnico, un atacante remoto autenticado podría aprovechar una validación insuficiente de la entrada del usuario durante el proceso de carga de archivos para crear o sobrescribir cualquier archivo en el sistema operativo subyacente.

Aunque el fallo tiene una puntuación CVSS de 6.5, su peligrosidad radica en que puede ser utilizado como un vector para la escalada de privilegios a nivel de root. Es importante destacar que, para que el ataque tenga éxito, el perpetrador debe poseer credenciales válidas con, al menos, permisos de escritura.

Productos afectados y versiones parcheadas

El impacto de esta vulnerabilidad se extiende a diversas implementaciones, incluyendo:

  • Cisco Catalyst SD-WAN Manager On-Prem
  • Cisco SD-WAN Cloud-Pro
  • Cisco SD-WAN Cloud (Gestionado por Cisco)
  • Cisco SD-WAN para Gobiernos (FedRAMP)

Cisco ha instado a las organizaciones a actualizar a las siguientes versiones corregidas de inmediato:

  • Versión 20.9.9.2
  • Versión 20.12.7.2
  • Versión 20.15.4.5
  • Versión 20.15.5.3
  • Versión 20.18.3.1
  • Versión 26.1.1.2

Indicadores de Compromiso (IoC) y Auditoría

Para las empresas que sospechen de una posible intrusión, Cisco recomienda auditar los registros del sistema, específicamente el archivo /var/log/nms/vmanage-server.log, en busca de cargas sospechosas de archivos con extensión .war. La presencia de despliegues no autorizados o interacciones con archivos JSP desconocidos son señales claras de un compromiso activo.

Contexto Global: La respuesta de CISA

Dada la evidencia de explotación activa, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido este fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Este movimiento subraya la necesidad de que todas las organizaciones, no solo las agencias federales, prioricen la aplicación de estos parches para mitigar riesgos antes de que grupos de amenazas avanzadas (APT) amplíen su alcance.

Desde Intedya, recordamos la importancia de mantener una política de gestión de parches rigurosa y sistemas de monitoreo de logs actualizados para detectar comportamientos anómalos en la infraestructura crítica de red.

Fuentes