Para: organizaciones que ejecutan Cisco Catalyst SD-WAN Manager (antes vManage) en sus propios servidores o en su propia cuenta en la nube, y los socios que lo gestionan por ellas. El servicio en la nube gestionado por Cisco ya está corregido. Esta página se basa en el aviso de seguridad de Cisco, NVD y el catálogo KEV de CISA; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
organizaciones que ejecutan Cisco Catalyst SD-WAN Manager (antes vManage) en sus propios servidores o en su propia cuenta en la nube, y los socios que lo gestionan por ellas. El servicio en la nube gestionado por Cisco ya está corregido.
- Confirmado hasta ahoraVer la tabla ↓
- Versiones afectadas y corregidas
- Sin iniciar sesión, acceso a la API como administrador
- Ataques reales
1 más
- Nube gestionada por Cisco
- Aún sin confirmar
- Cuántos sistemas fueron atacados o comprometidos
- Qué hicieron los atacantes tras obtener acceso de administrador
- Si el nombre KeyDrift se refiere a este CVE
- Qué hacer ahoraVer los pasos ↓
- Localice su SD-WAN Manager y su versión
- Actualice a la primera versión corregida de su rama
- Restrinja quién puede llegar a las interfaces de gestión
2 más
- Revise los registros en busca de uso indebido
- Tras la actualización, refuerce el acceso de administración
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Cisco, "Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability" (cisco-sa-sdwan-webauth-xr8beuuU, 30 de septiembre de 2026; versión 1.1, 2 de octubre)
- Última comprobación
- A fecha del 31 de octubre de 2026 (JST)
Próximos avisos y qué comprobamos
El aviso de Cisco (versión 1.1, 2 de octubre) y la entrada de KEV son públicos. Consultamos el aviso, NVD y el feed KEV de CISA (versión 2026.10.30) el 31 de octubre.
Qué hacer hoy
Localice su SD-WAN Manager y su versión
Anote la versión de software de cada instancia de SD-WAN Manager, incluidos los clústeres de reserva y de laboratorio. Cisco dice que todas las configuraciones están afectadas. Si usa Cisco SD-WAN Cloud (Cisco Managed), Cisco dice que no hace falta ninguna acción; puede ver la versión con la función de ayuda del servicio.
Actualice a la primera versión corregida de su rama
20.9 a 20.9.10.1, 20.12 a 20.12.8.2, 20.15 a 20.15.6.1, 20.18 a 20.18.4.1, 26.1 a 26.1.2.1, 26.2 a 26.2.1. Las versiones anteriores a 20.9 deben migrar a una versión corregida. Antes de empezar, consulte las matrices de compatibilidad y actualización de Cisco para sus controladores y routers de borde.
Restrinja quién puede llegar a las interfaces de gestión
Cisco aconseja bloquear el acceso desde redes no fiables como internet y permitir solo hosts conocidos y de confianza, detrás de un cortafuegos. Si no puede actualizar hoy, aplique esto primero. El escudo temporal Live Protect de Cisco solo da protección parcial y puede impedir iniciar sesión a usuarios legítimos que usen codificación URI.
Revise los registros en busca de uso indebido
El aviso de Cisco enumera los archivos de registro y las entradas que hay que comprobar, incluidos inicios de sesión de cuentas de servicio integradas del sistema desde direcciones que no reconoce. Compárelos con su tráfico normal, porque algunas entradas pueden aparecer en el uso normal. Genere un archivo admin-tech antes de abrir un caso de TAC (severidad 3, con CVE-2026-76504 en el título).
Tras la actualización, refuerce el acceso de administración
Cisco recomienda cambiar la contraseña de administrador predeterminada, dar a cada administrador su propia cuenta con solo el acceso que necesita, enviar los registros a un servidor externo y conservarlos el tiempo suficiente para investigar después. Si encontró señales de uso indebido, revise también los cambios de configuración enviados a sus routers de borde en ese periodo.
Qué se divulgó
- Producto
- Cisco Catalyst SD-WAN Manager (antes vManage), el sistema central de gestión de Cisco Catalyst SD-WAN
- Tipo
- Omisión de autenticación causada por un manejo incorrecto de la codificación URI en una solicitud HTTP (CWE-177)
- Autenticación
- No necesaria. Resultado: acceso a la API con privilegios de administrador (Cisco)
- Gravedad
- CVSS v3.1 9.8 (Cisco)
- Afectadas
- Todas las configuraciones de las versiones anteriores a las versiones corregidas indicadas abajo
- Corregidas
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1. Nube gestionada por Cisco: 20.15.605 (no requiere acción)
- Solución alternativa
- Ninguna. Mitigación: restringir el acceso desde redes no fiables
- Explotación
- El equipo de seguridad de Cisco tuvo conocimiento de explotación activa en septiembre de 2026
- KEV
- Añadido el 30 de septiembre de 2026; fecha límite: 3 de octubre. Marcado para los requisitos de triaje forense de CISA
1. Localizar versiones
Todas las configuraciones están afectadas
2. Actualizar y restringir
Primera versión corregida; solo hosts de confianza
3. Revisar registros
Comprobaciones del aviso de Cisco; caso de TAC si hace falta
Versiones corregidas
| Versión de SD-WAN | Primera versión corregida |
|---|---|
| Anterior a 20.9 | Migrar a una versión corregida |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud (Cisco Managed) | 20.15.605 (aplicada por Cisco) |
Cronología
Septiembre de 2026
El equipo de seguridad de Cisco tiene conocimiento de explotación activa. Cisco dice que el fallo se encontró al resolver un caso de soporte.30 de septiembre
Cisco publica el aviso y las versiones corregidas. CISA añade el CVE al catálogo KEV con fecha límite del 3 de octubre.2 de octubre
Cisco actualiza el aviso (versión 1.1) con el escudo temporal Live Protect.3 de octubre
Vence la fecha límite de KEV para las agencias federales de EE. UU.31 de octubre
Ninguna revisión posterior del aviso; estado en NVD: Analyzed.
Qué se sabe y qué no
| Elemento | Lo que dicen las fuentes | Estado |
|---|---|---|
| Versiones afectadas y corregidas | Todas las configuraciones; versiones corregidas por rama | Confirmado (Cisco) |
| Sin iniciar sesión, acceso a la API como administrador | Indicado en el aviso | Confirmado (Cisco) |
| Ataques reales | Cisco tuvo conocimiento de explotación activa en septiembre | Uso indebido confirmado (Cisco) |
| Nube gestionada por Cisco | Corregida en 20.15.605, sin acción necesaria | Confirmado (Cisco) |
| Número de sistemas atacados | No publicado | No consta |
| Qué hicieron los atacantes tras el acceso | No publicado | No consta |
| El nombre KeyDrift | No lo usan ni Cisco ni CISA | No consta |
Por qué afecta a toda la red
SD-WAN Manager fija la configuración de cada router de sucursal que controla. El acceso de administrador a él es acceso al diseño de red de toda la organización, no solo a un servidor. Por eso el consejo de Cisco, además de la actualización, se centra en mantener las interfaces de gestión lejos de internet.
El aviso se publicó a la vez que la inclusión en KEV, cuando ya se conocían ataques. Los sistemas accesibles desde internet antes del 30 de septiembre pueden haber estado expuestos antes de que existiera una corrección, así que actualizar no zanja la cuestión por sí solo; la revisión de registros sí.
Fuentes
Consultadas el 31 de octubre de 2026 (JST).
- Cisco, "Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability" (cisco-sa-sdwan-webauth-xr8beuuU, 30 de septiembre de 2026; versión 1.1, 2 de octubre) — sec.cloudapps.cisco.com
- Cisco, Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD, CVE-2026-76504 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (añadido el 30 de septiembre de 2026) — cisa.gov
Historial de actualizaciones
2026-10-31: Primera versión, basada en el aviso de Cisco, NVD y el catálogo KEV de CISA.
Leer a continuación
- Explotadas en el mismo periodo: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Otro fallo reciente de Cisco: Fallo de VPN de Cisco ASA y FTD CVE-2026-76418
- Defender dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto
- Priorizar correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Términos: ¿Qué es CVSS?