Cisco parcha una falla crítica de SD-WAN Manager ya explotada
La CVE-2026-76504 deja entrar como administrador sin contraseña y no tiene solución alterna, así que la única salida es actualizar.
Cisco pide actualizar de inmediato Catalyst SD-WAN Manager: la vulnerabilidad CVE-2026-76504 se está explotando y, según el aviso de seguridad de Cisco, no existe una solución alterna. Cisco publicó el parche el 30 de septiembre.
SD-WAN permite a empresas, bancos, comercios y gobiernos unir sus sucursales a través de internet. El Manager, antes llamado vManage, es el panel central desde el que se configura toda esa red. Cisco explica que la falla está en cómo el producto interpreta la codificación de direcciones en una petición web, lo que permite saltarse la autenticación. Un atacante remoto, sin cuenta, obtiene acceso a la API administrativa con privilegios de administrador. El puntaje CVSS, que mide la gravedad de 0 a 10, es de 9.8.
Cisco dice que la falla afecta al producto sea cual sea su configuración y que ya hay ataques en curso. La empresa se enteró en septiembre por un caso de soporte de un cliente. No ha dicho quién ataca ni a cuántas organizaciones afectó.
Las primeras versiones corregidas, por rama, son estas:
- Rama 20.9: la 20.9.10.1
- Rama 20.12: la 20.12.8.2
- Rama 20.15: la 20.15.6.1
- Rama 20.18: la 20.18.4.1
- Rama 26.1: la 26.1.2.1
- Rama 26.2: la 26.2.1
Cisco afirma que los Manager que ella aloja en la nube ya están corregidos. The Hacker News añade que las versiones previas a la rama 20.9 no tendrán corrección, de modo que esos clientes deben migrar a otra rama. A quien no pueda actualizar de inmediato, Cisco le pide limitar la exposición del Manager a internet y filtrar con un firewall el acceso a equipos de confianza.
El mismo 30 de septiembre, la CISA, la agencia de ciberseguridad de Estados Unidos, añadió la falla a su catálogo de vulnerabilidades explotadas. Rapid7 y The Hacker News reportan que las agencias civiles federales tienen hasta el 3 de octubre para corregirla. La alerta de la CISA que se consultó no trae esa fecha.
Para el usuario final de una empresa conectada por SD-WAN no cambia nada directo; el riesgo recae en quienes operan la red. Ninguna fuente menciona clientes afectados en México.
