Vulnerabilidades críticas en Cisco SD?WAN y Nexus

Fecha de publicación: 

Resumen ejecutivo

Las vulnerabilidades críticas divulgadas en Cisco Catalyst SD‑WAN y varias plataformas Nexus y ACI exponen fallos graves de autenticación, escalado de privilegios, divulgación de información y denegación de servicio que permiten a atacantes remotos o adyacentes obtener accesos administrativos, manipular la configuración del SD‑WAN, ejecutar comandos como root o provocar reinicios y bucles de tráfico que impactan la disponibilidad de la red. Cisco confirma explotación activa en algunos casos, no existen workarounds efectivos (salvo mitigaciones específicas en entornos concretos), y recomienda actualizar de forma urgente a las versiones corregidas, así como reforzar la seguridad mediante segmentación, restricciones de acceso, revisión de logs y endurecimiento de servicios expuestos.

Recursos afectados

  • Cisco Catalyst SD-WAN Controller (versiones no especificadas)
  • Cisco Catalyst SD-WAN Manager (versiones no especificadas)
  • Cisco Catalyst SD-WAN Release 20.9 (20.9.8.2 estimado para 27 de febrero de 2026)
  • Cisco Catalyst SD-WAN Release 20.111 (20.12.6.1)
  • Cisco Catalyst SD-WAN Release 20.12.5 (versiones no especificadas)
  • Cisco Catalyst SD-WAN Release 20.12.6 (20.12.5.3, 20.12.6.1)
  • Cisco Catalyst SD-WAN Release 20.131 (20.15.4.2)
  • Cisco Catalyst SD-WAN Release 20.141 (20.15.4.2)
  • Cisco Catalyst SD-WAN Release 20.15 (20.15.4.2)
  • Cisco Catalyst SD-WAN Release 20.161 (20.18.2.1)
  • Cisco Catalyst SD-WAN Release 20.18 (20.18.2.1)
  • Cisco Nexus 3600 Platform Switches (versiones no especificadas)
  • Cisco Nexus 9500-R Series Switching Platforms (versiones no especificadas)
  • Cisco Nexus 9000 Series Fabric Switches in ACI mode (versiones no especificadas)
  • Cisco NX-OS Software (versiones no especificadas)

Análisis técnico

  • CVE-2026-20127: Una vulnerabilidad en la autenticación de emparejamiento en Cisco Catalyst SD-WAN Controller y Cisco Catalyst SD-WAN Manager puede permitir que un atacante remoto no autenticado eluda la autenticación y obtenga privilegios administrativos en el sistema afectado. El impacto potencial incluye el acceso no autorizado a la configuración de red del SD-WAN. Para explotar esta vulnerabilidad, el atacante debe enviar solicitudes manipuladas a un sistema afectado.
    • CWE-287
    • CVSS: 10.0 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • Explotación: Detectada
  • CVE-2026-20129: Una vulnerabilidad en la autenticación de usuarios de la API de Cisco Catalyst SD-WAN Manager permite a un atacante remoto no autenticado acceder a un sistema afectado con privilegios de netadmin. El impacto potencial incluye la ejecución de comandos con estos privilegios. Para explotar esta vulnerabilidad, un atacante debe enviar una solicitud manipulada a la API del sistema afectado. Las versiones 20.18 y posteriores de Cisco Catalyst SD-WAN Manager no están afectadas.
    • CWE-287
    • CVSS: 9.8 (crítica)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-20126: Una vulnerabilidad en Cisco Catalyst SD-WAN Manager permite que un atacante local autenticado con bajos privilegios obtenga permisos de root en el sistema operativo subyacente. El impacto potencial es significativo, ya que el atacante podría tomar control total del sistema. Para explotar esta vulnerabilidad, el atacante debe enviar una solicitud a la REST API del sistema afectado.
    • CWE-648
    • CVSS: 8.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2022-20775: Varias vulnerabilidades en la CLI de Cisco SD-WAN permiten a un atacante local autenticado obtener altos privilegios. La explotación exitosa podría habilitar al atacante para ejecutar comandos arbitrarios con privilegios de usuario root. Para aprovechar estas vulnerabilidades, el atacante necesita ejecutar un comando malicioso en la interfaz de línea de comandos de la aplicación.
    • CWE-22
    • CVSS: 7.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: Detectada
  • CVE-2022-20818: Las vulnerabilidades en la CLI de Cisco SD-WAN permiten a un atacante local autenticado obtener altos privilegios. Esto podría resultar en la ejecución de comandos arbitrarios con privilegios de root. Para explotar estas vulnerabilidades, el atacante debe ejecutar un comando malicioso en la CLI de la aplicación.
    • CWE-22
    • CVSS: 7.8 (alta)
    • Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Explotación: Detectada
  • CVE-2026-20048: Una vulnerabilidad en el protocolo Simple Network Management (SNMP) de los conmutadores Cisco Nexus 9000 Series en modo ACI puede permitir que un atacante remoto autenticado cause una condición de denegación de servicio (DoS). Esto podría resultar en un fallo del kernel y un reinicio del dispositivo. Para explotar esta vulnerabilidad, el atacante necesita tener un string de comunidad SNMP de solo lectura para SNMPv1 o SNMPv2c, o credenciales de usuario SNMP válidas para SNMPv3.
    • CWE-789
    • CVSS: 7.7 (alta)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-20128: Una vulnerabilidad en la función Data Collection Agent (DCA) de Cisco Catalyst SD-WAN Manager permite que un atacante local autenticado obtenga privilegios de usuario DCA en el sistema afectado. El impacto potencial incluye el acceso no autorizado a otros sistemas afectados. Para explotar esta vulnerabilidad, el atacante debe contar con credenciales válidas de vmanage en el sistema afectado. Las versiones 20.18 y posteriores de Cisco Catalyst SD-WAN Manager no son vulnerables.
    • CWE-257
    • CVSS: 7.5 (alta)
    • Vector CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
    • Explotación: No detectada
  • CVE-2026-20033: Una vulnerabilidad en los conmutadores Cisco Nexus 9000 Series en modo ACI permite que un atacante adyacente no autenticado provoque una condición de denegación de servicio (DoS) en el dispositivo afectado. El impacto potencial es que el dispositivo podría reiniciarse inesperadamente, causando interrupciones en el servicio. Para explotar esta vulnerabilidad, se requiere enviar un marco Ethernet específico a la interfaz de gestión OOB del dispositivo afectado.
    • CWE-805
    • CVSS: 7.4 (alta)
    • Vector CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-20051: Una vulnerabilidad en el procesamiento de paquetes de entrada de la capa 2 de Cisco Nexus 3600 y 9500-R permite a un atacante adyacente y no autenticado provocar un bucle de tráfico de capa 2. Esto puede resultar en una condición de denegación de servicio (DoS) al sobresaturar el ancho de banda y causar la pérdida de todo el tráfico de datos. Para explotar esta vulnerabilidad, el atacante debe estar adyacente a la capa 2 del dispositivo afectado.
    • CWE-457
    • CVSS: 7.4 (alta)
    • Vector CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-20010: Una vulnerabilidad en la función Link Layer Discovery Protocol (LLDP) de Cisco NX-OS Software permite a un atacante no autenticado y adyacente reiniciar el proceso LLDP, provocando un reinicio inesperado del dispositivo. Esto podría resultar en una condición de denegación de servicio (DoS). Para explotar esta vulnerabilidad, el atacante debe estar conectado directamente a una interfaz del dispositivo afectado, ya sea física o lógicamente a través de un túnel de Capa 2.
    • CWE-805
    • CVSS: 7.4 (alta)
    • Vector CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
    • Explotación: No detectada
  • CVE-2026-20133: Una vulnerabilidad en Cisco Catalyst SD-WAN Manager permite a un atacante remoto no autenticado acceder a información sensible del sistema afectado. Esto se debe a restricciones insuficientes en el acceso al sistema de archivos. Si el atacante logra explotar esta vulnerabilidad accediendo a la API del sistema, podría leer información crítica del sistema operativo subyacente.
    • CWE-200
    • CVSS: 6.5 (media)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
    • Explotación: No detectada
  • CVE-2026-20122: Una vulnerabilidad en la API de Cisco Catalyst SD-WAN Manager permite a un atacante remoto autenticado sobrescribir archivos arbitrarios en el sistema de archivos local. El impacto potencial incluye la posibilidad de obtener privilegios de usuario vmanage. Para explotar esta vulnerabilidad, el atacante necesita credenciales de solo lectura válidas con acceso a la API en el sistema afectado.
    • CWE-648
    • CVSS: 5.4 (media)
    • Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
    • Explotación: No detectada

Mitigación / Solución

Cisco recomienda actualizar los sistemas afectados a una versión de software corregida. No hay ninguna solución alternativa disponible. Para los despliegues en el sitio, se aconseja seguir las pautas de configuración de firewall para Cisco Catalyst SD-WAN, restringiendo el tráfico a los puertos 22 y 830 solo a direcciones IP de controladores conocidos. Además, los clientes deben monitorear el tráfico de registro web, deshabilitar HTTP para el portal de administración y cambiar las contraseñas de administrador a variantes más seguras. Es esencial revisar los registros para identificar conexiones de peering no autorizadas y seguir las recomendaciones de seguridad del Cisco Catalyst SD-WAN Hardening Guide para fortalecer la seguridad del entorno.

Referencias adicionales

    Compartir