CISA confirma explotación activa de falla en Cisco SD-WAN Manager

El fallo de bypass de autenticación mediante codificación hexadecimal se suma a una seguidilla de vulnerabilidades críticas explotadas en productos Cisco de borde durante septiembre; EE.UU. exige parche bajo BOD 26-04.

Qué pasó

CISA añadió CVE-2026-76504 — identificada como *Cisco Catalyst SD-WAN Manager Hex Encoding Vulnerability* — a su catálogo KEV el 30 de septiembre de 2026, basándose en evidencia de explotación activa. El aviso de CISA no detalla el vector técnico preciso; el nombre sugiere que el atacante usa secuencias codificadas en hexadecimal para evadir validaciones de entrada y eludir la autenticación de la interfaz de administración del producto (anteriormente conocido como vManage).

Reportes de medios especializados, entre ellos The Hacker News, describen el hallazgo como un bypass de autenticación explotado activamente y señalan que el propio Cisco emitió una advertencia sobre atacantes explotando la falla (referencia). No contamos con el puntaje CVSS de esta vulnerabilidad específica en la fuente primaria revisada; no sabemos si alcanza 9.0+ porque CISA no lo publicó en este aviso puntual.

La Directiva Operacional Vinculante BOD 26-04 obliga a las agencias del Ejecutivo Civil Federal de EE.UU. (FCEB) a priorizar la remediación de vulnerabilidades del catálogo KEV que, expuestas a Internet, otorgan *control total del activo post-explotación* — criterio que CISA aplica explícitamente a este caso. No existe aún un plazo público verificado para el parcheo de esta vulnerabilidad en particular; no inventamos una fecha límite.

Por qué importa acá

Cisco Catalyst SD-WAN es una plataforma de gestión de red de uso extendido en operadores de telecomunicaciones y empresas con redes WAN distribuidas, incluyendo la región. No tenemos confirmación de una víctima chilena o de despliegues masivos locales de este producto específico —a diferencia de otros casos que cubrimos con ámbito Chile, aquí no forzamos ese ángulo—. Lo que sí es razonable esperar (evaluación, confianza media; alternativa: que la adopción local de Catalyst SD-WAN sea baja comparada con otros productos Cisco) es que algunas empresas grandes y operadores con infraestructura WAN gestionada centralizadamente tengan instancias de SD-WAN Manager, muchas veces operadas por un proveedor de servicios gestionados más que por el equipo de TI interno.

Si una organización chilena categorizada como Operador de Importancia Vital bajo la Ley 21.663 identifica explotación confirmada de este CVE sobre un activo que sustenta un servicio esencial, corresponde evaluar el deber de reporte a ANCI. No citamos plazos específicos de esa obligación porque no los verificamos en la fuente de esta pieza.

El patrón más amplio —cuatro productos Cisco de borde o seguridad con fallas críticas explotadas activamente en un mismo mes (ISE con CVSS 10.0, Secure Email Gateway, FMC comprometido para desplegar ransomware Qilin, y ahora SD-WAN Manager)— sí es un dato verificable con múltiples fuentes independientes (CISA, CSA Labs, The Hacker News, unaaldia, Segu-Info). Lo que agregamos nosotros es la lectura de que esto eleva el costo de ignorar cualquier aviso nuevo de Cisco en lo que resta de 2026: la superficie de borde de este fabricante está recibiendo atención sostenida de actores de amenaza.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El vector de entrada es la interfaz de administración de SD-WAN Manager expuesta, explotada mediante el bypass de autenticación reportado.
• T1068 — CISA describe el criterio de inclusión en BOD 26-04 como vulnerabilidades que otorgan 'control total del activo post-explotación', consistente con escalamiento a privilegios administrativos completos sobre el plano de gestión SD-WAN.
• T1078 — Un bypass de autenticación exitoso puede traducirse en sesiones administrativas que se comportan como acceso legítimo, dificultando la detección posterior basada solo en credenciales.

title: Posible explotación de bypass de autenticación en Cisco SD-WAN Manager (CVE-2026-76504)
id: c3f1a6e2-9d4b-4a7f-8e21-5b6d0f3a9c47
status: experimental
description: Detecta solicitudes HTTP hacia la interfaz de administración de Cisco Catalyst SD-WAN Manager con secuencias de codificación hexadecimal inusuales en la ruta o en parámetros, patrón consistente con el bypass de autenticación reportado en CVE-2026-76504. No existen firmas ni IOCs públicos confirmados a la fecha de publicación; regla conductual.
references:
    - https://www.cisa.gov/news-events/alerts/2026/09/30/cisa-adds-one-known-exploited-vulnerability-catalog
    - https://www.cve.org/CVERecord?id=CVE-2026-76504
logsource:
    category: webserver
    product: cisco
detection:
    selection_encoding:
        cs-uri-query|contains:
            - '%5c%78'
            - '%2e%2e%2f'
            - '\\x'
    selection_admin_path:
        cs-uri-stem|contains:
            - '/dataservice/'
            - '/manage/'
    condition: selection_encoding and selection_admin_path
falsepositives:
    - Escaneos de vulnerabilidades autorizados contra la interfaz de administración
    - Integraciones legítimas que envían parámetros URL-encoded hacia la API REST de vManage
level: high

CommonSecurityLog
| where RequestURL has_any ("/dataservice/", "/manage/")
| where RequestURL has_any ("%5c%78", "%2e%2e%2f")
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceVendor, DeviceAction
| sort by TimeGenerated desc

index=proxy OR index=firewall
| regex uri_query="(%5c%78|%2e%2e%2f)"
| search uri_path="*/dataservice/*" OR uri_path="*/manage/*"
| table _time, src_ip, dest_ip, uri_path, uri_query, status
| sort - _time

<rule id="100601" level="12">
  <if_sid>31108</if_sid>
  <url>%5c%78|%2e%2e%2f</url>
  <description>Posible intento de bypass de autenticacion en Cisco SD-WAN Manager (CVE-2026-76504) via codificacion hexadecimal en URL</description>
  <mitre>
    <id>T1190</id>
  </mitre>
</rule>

Fuentes

• CISACISA Adds One Known Exploited Vulnerability to Catalog · 2026-09-30
• CVE.orgCVE-2026-76504 — registro CVE · 2026-09-30
• CISABOD 26-04: Prioritizing Security Updates Based on Risk · 2026-09-30
• The Hacker NewsCisco Warns of Attackers Exploiting Critical Authentication Bypass in SD-WAN Manager · 2026-09-30
• The Hacker NewsCISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV · 2026-10-01
• CSA LabsCisco SD-WAN Manager CVE-2026-76504: Authentication Bypass Exploited · 2026-10-02
• unaaldiaCisco corrige un zero-day crítico en ISE que ya se explota en ataques · 2026-09-17
• CSA LabsCisco FMC Auth Bypass Exploited to Deploy Qilin Ransomware · 2026-09-18

Relacionado