SD-WAN bajo presión: un zero-day alcanzó el plano de control

Mandiant documentó una intrusión contra infraestructura Cisco Catalyst SD-WAN en la que un actor utilizó CVE-2026-20245 como vulnerabilidad de día cero para escalar desde una cuenta administrativa comprometida hasta acceso root. La actividad incluyó conexiones de peering no autorizadas y limpieza antiforense.

La infraestructura SD-WAN concentra control sobre múltiples sedes y rutas. Cuando el atacante alcanza el plano de administración, el problema deja de ser un host aislado y puede afectar visibilidad, credenciales, configuración y confianza entre dispositivos.

• Conexiones de peering que no correspondan al inventario autorizado.
• Cambios de contraseña o autenticaciones administrativas sin ticket asociado.
• Cargas de archivos inusuales en funciones de administración.
• Pérdida, alteración o restauración atípica de archivos de configuración.

Actualiza a una versión corregida por Cisco, genera paquetes de diagnóstico en los componentes del plano de control y ejecuta una revisión histórica centrada en peering, SSH y cambios administrativos. Si aparecen indicios, conserva evidencia antes de intentar normalizar el dispositivo.

Fuente: Zero-Day Exploitation of CVE-2026-20245 in Cisco Catalyst SD-WAN Manager, publicada por Mandiant el 24 de junio de 2026. El reporte describe una investigación concreta; no demuestra explotación universal.