Cisco Catalyst SD-WAN Manager vulnerability

CVE-2026-20127 es una vulnerabilidad crítica de autenticación en Cisco Catalyst SD-WAN Controller (antes vSmart) y Cisco Catalyst SD-WAN Manager (antes vManage), causada por un fallo en la autenticación de peering; permite a un atacante remoto no autenticado saltarse la autenticación y obtener privilegios administrativos.

Impacto

Cisco y organismos de ciberseguridad han indicado que la vulnerabilidad está siendo explotada activamente en entornos reales. En los casos observados, los atacantes llegaron a añadir “rogue peers” a la configuración SD-WAN, lo que puede facilitar acceso persistente y control prolongado de la red.

Productos y exposición

Afecta a despliegues on-prem y a variantes alojadas por Cisco, incluyendo Cisco Hosted SD-WAN Cloud y el entorno FedRAMP. El riesgo es especialmente alto cuando la interfaz de gestión o el plano de control están expuestos a Internet.

Versiones y corrección

Cisco publicó correcciones el 25 de febrero de 2026 y recomienda actualizar a las versiones fijas correspondientes o migrar desde ramas sin soporte. Entre los ejemplos publicados están 20.9 -> 20.9.8.2 y 20.11 -> 20.12.6.1.

Qué revisar

Conviene revisar logs, snapshots y artefactos de los nodos SD-WAN, además de buscar cambios anómalos en el peering y accesos administrativos inesperados. También se recomienda endurecer el perímetro, aislar interfaces de gestión, usar certificados adecuados, limitar tiempos de sesión y reenviar logs a un syslog remoto.

Riesgo práctico

Para una organización que use Cisco Catalyst SD-WAN, esto no es solo un fallo de autenticación: puede traducirse en control administrativo de la infraestructura WAN, modificación de políticas y pivoteo hacia otros segmentos.

El vector de ataque es remoto y no autenticado; el atacante envía solicitudes especialmente construidas al proceso de autenticación de peering de Cisco Catalyst SD-WAN Controller/Manager para eludir la autenticación y obtener acceso administrativo. Cisco y el Cyber Centre canadiense señalan que el riesgo es mayor cuando los planos de gestión o control están expuestos a Internet, y que se han observado casos con “rogue peers” añadidos para persistencia.

Medios de mitigación

La medida principal es parchear o migrar a una versión corregida, porque no se describen workarounds eficaces. Las versiones fijas publicadas incluyen, por ejemplo, 20.9.8.2 para la rama 20.9 y 20.12.6.1 para 20.11; Cisco/Cyber Centre también recomiendan migrar las ramas anteriores a 20.9.

Endurecimiento práctico

Cisco y Cyber Centre recomiendan colocar los componentes de control detrás de un firewall, aislar la interfaz de gestión VPN 512, limitar los accesos de administración a rangos de IP confiables y usar certificados propios para la interfaz web. También aconsejan usar pairwise keying, reducir al mínimo el timeout de sesión y reenviar los logs a un syslog remoto para facilitar detección y respuesta.

Detección y respuesta

Conviene recopilar snapshots y logs antes de aplicar cambios, y revisar configuraciones y eventos de peering en busca de IPs desconocidas, horarios anómalos o peers no autorizados. Si ya hubo exposición, hay que buscar indicadores de compromiso y cambios persistentes en la configuración SD-WAN, porque el abuso reportado incluye acceso administrativo, persistencia y control prolongado.

Prioridad operativa

En la práctica, el orden correcto es: identificar instancias afectadas, aislar exposición, capturar evidencia, parchear/migrar y después hacer hunting de compromiso. La parte más importante es no tratarlo solo como un fallo de login: el impacto reportado llega a control administrativo de la infraestructura WAN y a cambios duraderos en la topología y política de red.