Alerta de Seguridad: Cisco Catalyst SD-WAN Manager - acceso administrativo remoto

// resumen_ejecutivo

CVE-2026-76504 (CVSS 9.8) permite acceso administrador remoto sin autenticación. Explotada activamente; CISA fija el 03-10-2026 como plazo FCEB.

// descripcion_detallada

Alerta crítica por CVE-2026-76504

CISA confirmó explotación activa al incorporar esta vulnerabilidad a KEV. Cisco Catalyst SD-WAN Manager maneja incorrectamente la codificación hexadecimal de URI en solicitudes HTTP, lo que puede permitir a un atacante remoto no autenticado acceder con privilegios administrativos.

Riesgo

CVSS: 9.8, crítica.
CWE: CWE-177.
Acceso requerido: ninguno.
Fecha límite FCEB: 3 de octubre de 2026.
Ransomware: uso desconocido.

El acceso administrativo puede exponer configuraciones sensibles, permitir cambios no autorizados y comprometer la operación del entorno SD-WAN. Las organizaciones deben priorizar los sistemas expuestos a Internet y tratar cualquier actividad anómala como un posible incidente.

// vectores_de_ataque

Red / remoto / no autenticado. Solicitud HTTP con URI codificada de forma especialmente construida; impacto: acceso con privilegios de administrador.

// versiones_afectadas

Cisco Catalyst SD-WAN Manager; consultar el aviso oficial de Cisco para las versiones y releases corregidos específicos.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-76504

// recomendaciones_de_mitigacion

Acciones prioritarias

Aplicar inmediatamente las actualizaciones o mitigaciones indicadas en el aviso oficial de Cisco para la rama instalada.
Restringir la interfaz administrativa a redes de gestión, VPN y orígenes autorizados; eliminar exposición directa a Internet.
Revisar logs HTTP y de auditoría por URI con codificación inusual, accesos administrativos no reconocidos y cambios de configuración.
Seguir BOD 26-04 y los requisitos de triaje forense de CISA; preservar evidencia ante cualquier indicio.
Si no hay mitigación disponible, aislar o discontinuar temporalmente el producto.

Después de corregir, confirmar la versión activa y revisar sesiones, cuentas, secretos y configuraciones por persistencia no autorizada.