CISA agrega a KEV una vulnerabilidad de omisión de autenticación de Cisco Catalyst SD-WAN Manager.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el miércoles una vulnerabilidad crítica de omisión de autenticación que afecta a Cisco Catalyst SD-WAN Manager a su lista de Vulnerabilidades Explotadas Conocidas (KEV), tras informes de explotación activa.

La vulnerabilidad, identificada como CVE-2026-76504 (puntuación CVSS: 9.8), podría permitir que un atacante remoto no autenticado acceda a un sistema afectado con los privilegios del administrador.

"Cisco Catalyst SD-WAN Manager contiene una vulnerabilidad de codificación hexadecimal que podría permitir que un atacante remoto no autenticado acceda a un sistema afectado con los privilegios del administrador debido a un manejo incorrecto de la codificación URI en una solicitud HTTP", declaró CISA.

Una explotación exitosa podría permitir que un atacante eluda la autenticación enviando una solicitud HTTP manipulada a la API del sistema afectado y obtenga acceso a la API como administrador.

Este desarrollo se produce después de que Cisco anunciara que tuvo conocimiento de la explotación activa de la vulnerabilidad CVE-2026-76504 en septiembre de 2026. El fabricante de equipos de red ha puesto a disposición indicadores de compromiso (IoC) que los clientes pueden usar para comprobar si sus entornos se han visto afectados:

Auditar el archivo "/var/log/nms/containers/service-proxy/serviceproxy-access.log" en busca de entradas relacionadas con j_security_check procedentes de direcciones IP desconocidas o no autorizadas.

Auditar el archivo "/var/log/nms/vmanage-server.log" en busca de entradas relacionadas con j_security_check procedentes de direcciones IP desconocidas o no autorizadas, específicamente aquellas llamadas realizadas a usuarios cuyos nombres comiencen con "viptela-reserved-".

Cisco no ha proporcionado detalles sobre la actividad de explotación, quién está detrás de ella, cuántas organizaciones se han visto comprometidas hasta la fecha ni cuándo se produjo el primer caso de explotación de la vulnerabilidad CVE-2026-76504. Las agencias del Poder Ejecutivo Civil Federal (FCEB, por sus siglas en inglés) tienen hasta el 3 de octubre de 2026 para aplicar las correcciones.