馃挕 Resumen (TL;DR):
- Cisco confirm贸 la explotaci贸n activa de dos fallas adicionales de seguridad en su plataforma Catalyst SD-WAN Manager.
- Los errores requieren la actualizaci贸n inmediata a la versi贸n 20.18 o superior, ya que no existen medidas alternativas de mitigaci贸n.
- CISA emiti贸 una directiva de emergencia exigiendo a las agencias federales mitigar estas brechas aprovechadas por un grupo patrocinado por un Estado.
El 4 de marzo, Cisco actualiz贸 su aviso de seguridad para confirmar que atacantes inform谩ticos explotan activamente dos nuevas vulnerabilidades en su plataforma Catalyst SD-WAN Manager. Esta crisis escal贸 r谩pidamente tras la revelaci贸n, a finales de febrero, de una falla cr铆tica que permit铆a eludir la autenticaci贸n del sistema.
“En marzo de 2026, el Cisco PSIRT tuvo conocimiento de la explotaci贸n activa de las vulnerabilidades que se describen en CVE-2026-20128 y CVE-2026-20122 煤nicamente”, declar贸 la compa帽铆a en su reporte actualizado. Adem谩s, agreg贸 que “las vulnerabilidades que se describen en los otros CVE de este aviso no se sabe que hayan sido comprometidas”.
CVE-2026-20122 es una falla de sobrescritura de archivos en la API de SD-WAN Manager que permite a un atacante remoto con credenciales de solo lectura subir archivos maliciosos y obtener privilegios elevados de usuario vmanage.
Por su parte, el CVE-2026-20128 es una vulnerabilidad de divulgaci贸n de informaci贸n de gravedad media, vinculada a credenciales preconfiguradas en la funci贸n Data Collection Agent, la cual permite escalar privilegios y moverse lateralmente por los nodos de la red.
Ambas brechas de seguridad afectan a las versiones de Catalyst SD-WAN Manager anteriores a la 20.18. Cisco advirti贸 de manera contundente que no existen soluciones provisionales; instalar el parche de software es el 煤nico m茅todo para proteger los equipos.
Sofisticaci贸n del ataque y respuesta de emergencia
Estos nuevos hallazgos agravan el impacto del CVE-2026-20127, una vulnerabilidad con calificaci贸n perfecta de severidad (CVSS 10.0) reportada el 25 de febrero. Los investigadores de Cisco Talos atribuyen las intrusiones a UAT-8616, un sofisticado grupo de amenazas patrocinado por un Estado que opera desde al menos 2023.
La cadena de ataque descubierta destaca por su alto rigor operativo. Los hackers utilizaron la falla inicial para inyectar componentes fraudulentos en las redes SD-WAN y luego ejecutaron un downgrade de firmware deliberado. Esto reactiv贸 un antiguo bug de 2022 (CVE-2022-20775) que les otorg贸 acceso root. Tras lograr su objetivo, restauraron el software parcheado y eliminaron los logs y el historial de comandos para borrar sus huellas.
Ante la severidad de las intrusiones, CISA emiti贸 la Directiva de Emergencia 26-03 exigiendo a las agencias civiles federales aplicar medidas cr铆ticas de contenci贸n:
- Realizar inventarios completos de la infraestructura SD-WAN de Cisco.
- Recolectar evidencia forense, incluyendo capturas virtuales y registros del sistema.
- Aislar las interfaces de administraci贸n SD-WAN en redes VLAN internas.
- Configurar firewalls con listas de permitidos (allowlist) exclusivas para IPs conocidas.
- Limitar los tiempos de inactividad de las sesiones a cinco minutos m谩ximo.
La capacidad de los atacantes para comprometer profundamente los planos de control y administraci贸n de la red obliga a los administradores a ejecutar cacer铆as activas de amenazas. La simple instalaci贸n del parche no elimina a los hackers si ya lograron anclarse dentro del entorno inform谩tico.
