============================================================================== CISA CONFIRMA EXPLOTACIÓN ACTIVA DE FALLA EN CISCO SD-WAN MANAGER ============================================================================== Fuente: https://www.vantis.cl/noticias/cisco-sd-wan-manager-bypass-autenticacion-kev-cve-2026-76504 Publicado: 2026-10-06 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-12 06:33 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs HTTP(S) del balanceador/WAF/reverse proxy que expone la interfaz de Cisco Catalyst SD-WAN Manager · Audit logs nativos de vManage (System > Administration > Audit Log) exportados a syslog · Logs de firewall perimetral que registren tráfico hacia los puertos de administración (TCP 443/8443) de SD-WAN Manager ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Posible explotación de bypass de autenticación en Cisco SD-WAN Manager (CVE-2026-76504) ============================================================================== Requiere: Logs de proxy/WAF/balanceador que registren la ruta y query string completa de las solicitudes HTTP hacia SD-WAN Manager (campos cs-uri-stem y cs-uri-query). title: Posible explotación de bypass de autenticación en Cisco SD-WAN Manager (CVE-2026-76504) id: c3f1a6e2-9d4b-4a7f-8e21-5b6d0f3a9c47 status: experimental description: Detecta solicitudes HTTP hacia la interfaz de administración de Cisco Catalyst SD-WAN Manager con secuencias de codificación hexadecimal inusuales en la ruta o en parámetros, patrón consistente con el bypass de autenticación reportado en CVE-2026-76504. No existen firmas ni IOCs públicos confirmados a la fecha de publicación; regla conductual. references: - https://www.cisa.gov/news-events/alerts/2026/09/30/cisa-adds-one-known-exploited-vulnerability-catalog - https://www.cve.org/CVERecord?id=CVE-2026-76504 logsource: category: webserver product: cisco detection: selection_encoding: cs-uri-query|contains: - '%5c%78' - '%2e%2e%2f' - '\\x' selection_admin_path: cs-uri-stem|contains: - '/dataservice/' - '/manage/' condition: selection_encoding and selection_admin_path falsepositives: - Escaneos de vulnerabilidades autorizados contra la interfaz de administración - Integraciones legítimas que envían parámetros URL-encoded hacia la API REST de vManage level: high ============================================================================== REGLA 2 de 4 · MICROSOFT SENTINEL - KQL SD-WAN Manager - patrones de codificación hexadecimal en rutas administrativas ============================================================================== Requiere: Ingesta de logs de firewall/proxy perimetral en la tabla CommonSecurityLog (CEF) de Microsoft Sentinel, con el tráfico hacia SD-WAN Manager visible por ese dispositivo. CommonSecurityLog | where RequestURL has_any ("/dataservice/", "/manage/") | where RequestURL has_any ("%5c%78", "%2e%2e%2f") | project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceVendor, DeviceAction | sort by TimeGenerated desc ============================================================================== REGLA 3 de 4 · SPLUNK - SPL SD-WAN Manager - codificación hexadecimal hacia rutas de administración ============================================================================== Requiere: Índice proxy o firewall con campos extraídos uri_path, uri_query, src_ip, dest_ip (típico de Splunk Stream, Palo Alto o F5). index=proxy OR index=firewall | regex uri_query="(%5c%78|%2e%2e%2f)" | search uri_path="*/dataservice/*" OR uri_path="*/manage/*" | table _time, src_ip, dest_ip, uri_path, uri_query, status | sort - _time ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST Alerta sobre codificación hexadecimal hacia Cisco SD-WAN Manager ============================================================================== Requiere: Logs HTTP reenviados al agente Wazuh desde el proxy/WAF que expone SD-WAN Manager, decodificados por el módulo de logs web (regla base 31108 o equivalente). 31108 %5c%78|%2e%2e%2f Posible intento de bypass de autenticacion en Cisco SD-WAN Manager (CVE-2026-76504) via codificacion hexadecimal en URL T1190 ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Estas reglas son conductuales y experimentales porque, a la fecha de esta alerta, no hay IOCs ni firmas públicas específicas de CVE-2026-76504. Herramientas de escaneo de vulnerabilidades autorizadas (Nessus, Qualys) y algunas integraciones legítimas con la API REST de vManage también envían parámetros URL-encoded y pueden activar estas reglas. Antes de escalar como incidente, confirmar que el origen no corresponde a una herramienta de escaneo interno programada ni a tráfico de gestión conocido. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================