{"id":6039,"date":"2026-10-01T09:49:06","date_gmt":"2026-10-01T14:49:06","guid":{"rendered":"https:\/\/cert.pa\/?p=6039"},"modified":"2026-10-01T09:49:08","modified_gmt":"2026-10-01T14:49:08","slug":"csirt-panama-aviso-2026-sep-30-vulnerabilidad-critica-en-cisco-catalyst-sd-wan-manager-que-permite-ejecutar-acciones-sin-autenticarse-cve-2026-76504","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6039","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-sep-30: Vulnerabilidad Cr\u00edtica en Cisco Catalyst SD-WAN Manager que permite ejecutar acciones sin autenticarse \u2014 CVE-2026-76504"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 30 de septiembre de 2026
CVE ID:<\/strong> CVE-2026-76504
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 9.8
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-177: Manejo inadecuado de la codificaci\u00f3n de URL (omisi\u00f3n de autenticaci\u00f3n)
Producto afectado:<\/strong> Cisco Catalyst SD-WAN Manager (antes vManage)
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Confirmada por Cisco PSIRT (septiembre de 2026) e incluida en el cat\u00e1logo CISA KEV desde el 30 de septiembre de 2026
Fuente:<\/strong> NVD \/ CISA \/ The Hacker News \/ BleepingComputer \/ Cisco PSIRT
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad en Cisco Catalyst SD-WAN Manager, registrada como CVE-2026-76504 y calificada con 9.8 de 10 en la escala CVSS 3.1. Un atacante remoto no autenticado podr\u00eda omitir la autenticaci\u00f3n de la API y obtener acceso con privilegios del usuario administrador.<\/p>\n\n\n\n

La falla se debe a un manejo inadecuado de la codificaci\u00f3n de URI en las solicitudes HTTP: una solicitud manipulada con caracteres codificados logra evadir la regla de autenticaci\u00f3n que protege un endpoint espec\u00edfico de la API.<\/p>\n\n\n\n

El 30 de septiembre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente. Cisco indica que no existen soluciones alternativas (workarounds) que eliminen la vulnerabilidad.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abA vulnerability in the API session-based authentication management of Cisco Catalyst SD-WAN Manager could allow an unauthenticated, remote attacker to access an affected system with privileges of the admin user. This vulnerability is due to improper handling of URI encoding in an HTTP request, which allows the request to bypass an authentication rule that is intended to restrict access to a specific API endpoint. An attacker could exploit this vulnerability by sending a crafted HTTP request to the API of the affected system. A successful exploit could allow the attacker to bypass authentication and gain access to the API as the admin user.\u00bb<\/em><\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
Cisco Catalyst SD-WAN Manager<\/td>Anteriores a 20.9<\/td>Migrar a una versi\u00f3n corregida<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 20.9<\/td>20.9.10.1<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 20.12<\/td>20.12.8.2<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 20.15<\/td>20.15.6.1<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 20.18<\/td>20.18.4.1<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 26.1<\/td>26.1.2.1<\/td><\/tr>
Cisco Catalyst SD-WAN Manager<\/td>Rama 26.2<\/td>26.2.1<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Nota: los entornos alojados en la nube de Cisco fueron corregidos autom\u00e1ticamente en la versi\u00f3n 20.15.605.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar Cisco Catalyst SD-WAN Manager a la versi\u00f3n corregida de su rama: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 o 26.2.1. Los equipos con versiones anteriores a 20.9 deben migrar a una rama soportada.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Mientras se realiza la actualizaci\u00f3n, restringir el acceso desde Internet a la interfaz o servicio afectado, permitiendo \u00fanicamente las direcciones de confianza que lo necesiten, y aplicar las mitigaciones indicadas por el fabricante. Cisco recomienda ubicar el sistema detr\u00e1s de un firewall que filtre el tr\u00e1fico a hosts de confianza y monitorear el tr\u00e1fico de red de forma continua.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. Revisar los registros y el sistema en busca de actividad inusual desde antes de la actualizaci\u00f3n. Indicadores publicados por Cisco:<\/p>\n\n\n\n