CISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV
The Hacker News · 1 oct, 12:33
Qué hacer: Actualiza Cisco Catalyst SD-WAN Manager a la versión corregida de inmediato y audita los logs de j_security_check en busca de solicitudes POST con variantes codificadas desde direcciones IP sospechosas.
CISA añadió a su lista de vulnerabilidades exploradas (KEV) un fallo crítico de autenticación en Cisco Catalyst SD-WAN Manager (CVE-2026-76504, CVSS 9.8) tras confirmarse su explotación activa en septiembre de 2026. Un atacante remoto sin autenticación podría obtener acceso con privilegios de administrador mediante una petición HTTP manipulada que eludiría la validación de URI encoding. Cisco ha proporcionado indicadores de compromiso para auditar logs y detectar intentos de explotación, con plazo de parcheo inmediato para agencias federales estadounidenses.
La vulnerabilidad afecta a Cisco Catalyst SD-WAN Manager y permite el acceso administrativo completo a través de un defecto en el manejo de codificación hexadecimal en las peticiones HTTP al API del sistema. Un atacante remoto no autenticado puede enviar una solicitud manipulada dirigida al endpoint j_security_check para obtener sesión de administrador, eludiendo completamente los mecanismos de autenticación del dispositivo.
Cisco ha recomendado auditar dos ficheros de log específicos: "/var/log/nms/containers/service-proxy/serviceproxy-access.log" y "/var/log/nms/vmanage-server.log", buscando entradas relacionadas con j_security_check desde direcciones IP desconocidas o no autorizadas, así como solicitudes para usuarios cuyo nombre comience con "viptela-reserved-". La empresa no ha divulgado detalles sobre quién está detrás de los ataques ni cuántas organizaciones han sido comprometidas. Analistas advierten que SD-WAN es un objetivo de alto valor para atacantes debido a su función como punto central de gestión de redes empresariales; ya hay ocho CVEs de 2026 relacionadas con SD-WAN en la lista KEV.
Puntos clave
- CVE-2026-76504 con CVSS 9.8 permite acceso sin autenticación con privilegios de admin
- Explotación activa confirmada en septiembre de 2026; FCEB tiene hasta 3 de octubre para aplicar parches
- Auditar logs de j_security_check y URL-encoded variants desde IPs sospechosas
- Indicadores de compromiso disponibles: solicitudes POST a variantes codificadas de /j_security_check
- Cisco Catalyst SD-WAN es blanco persistente: ocho CVEs de 2026 en lista KEV