Descripción
Cisco Catalyst SD-WAN Controller, anteriormente SD-WAN vSmart, y Cisco Catalyst SD-WAN Manager, anteriormente SD-WAN vManage, contienen una vulnerabilidad de omisión de autenticación que podría permitir a un atacante remoto no autenticado omitir la autenticación y obtener privilegios administrativos en un sistema afectado. Esta vulnerabilidad existe porque el mecanismo de autenticación de peering en un sistema afectado no funciona correctamente. Un atacante podría explotar esta vulnerabilidad enviando solicitudes especialmente manipuladas a un sistema afectado. Un exploit exitoso podría permitir al atacante iniciar sesión en un Cisco Catalyst SD-WAN Controller afectado como una cuenta de usuario interna, con privilegios altos y distinta de root. Con esta cuenta, el atacante podría acceder a NETCONF, lo que le permitiría manipular la configuración de red del fabric SD-WAN.
Acción recomendada
Evaluar la exposición y mitigar los riesgos asociados a los equipos Cisco SD-WAN siguiendo las guías de CISA, incluida su guía de búsqueda de amenazas (threat hunting) y endurecimiento para equipos Cisco SD-WAN. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Instrucciones de mitigación de CISA cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cis…
- Documento de CISA cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-…
- Aviso de sec.cloudapps.cisco.com sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-20127
Ver el texto original en inglés (CISA)
Cisco Catalyst SD-WAN Controller and Manager Authentication Bypass Vulnerability
Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, contain an authentication bypass vulnerability could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to an affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric.
Required action: Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.
Notes: CISA Mitigation Instructions: https://www.cisa.gov/news-events/directives/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems ; https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk ; https://nvd.nist.gov/vuln/detail/CVE-2026-20127
Otras vulnerabilidades de Cisco en el catálogo
- CVE-2026-76519 Vulnerabilidad de recorrido de directorios relativo (path traversal) en Cisco Secure Email Gateway Alta 14-10-2026
- CVE-2026-76504 Vulnerabilidad de codificación hexadecimal en Cisco Catalyst SD-WAN Manager Alta 30-09-2026
- CVE-2026-76460 Vulnerabilidad de uso incorrecto de API privilegiadas en Cisco Identity Services Engine Alta 16-09-2026
- CVE-2026-76461 Vulnerabilidad de inyección SQL en Cisco Secure Email Gateway Alta 14-09-2026
- CVE-2026-20079 Vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en Cisco Firewall Management Center Alta 09-09-2026