El 14 de mayo de 2026, CISA añadió la vulnerabilidad CVE-2026-20182 a su catálogo Known Exploited Vulnerabilities (KEV), fijando para las agencias federales civiles (FCEB) un plazo límite de mitigación hasta el 17 de mayo de 2026, es decir, tan solo tres días. La vulnerabilidad afecta a Cisco Catalyst SD-WAN Controller y constituye un bypass de autenticación que permite a un atacante remoto no autenticado obtener privilegios administrativos en el sistema objetivo. Según Cisco Talos, la explotación ya se observa en ataques reales por parte de al menos un grupo, y en combinación con vulnerabilidades SD-WAN reveladas anteriormente se configura una campaña a gran escala con la participación de, como mínimo, diez clusters de amenazas distintos.

Detalles técnicos de la vulnerabilidad

Según la descripción de CISA, CVE-2026-20182 es una vulnerabilidad de bypass de autenticación en Cisco Catalyst SD-WAN Controller y Manager. Permite que un atacante remoto no autenticado eluda por completo los mecanismos de autenticación y obtenga acceso administrativo al sistema vulnerable. El estado de explotación queda confirmado por su inclusión en el catálogo CISA KEV.

Productos afectados:

• Cisco Catalyst SD-WAN Controller
• Cisco Catalyst SD-WAN Manager
• vManage

Además de CVE-2026-20182, hay otras tres vulnerabilidades relacionadas que se encuentran en explotación activa: CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122. Según los investigadores, cuando se encadenan, estas tres vulnerabilidades permiten a un atacante remoto no autenticado obtener acceso no autorizado al dispositivo. Se informa de que fueron añadidas al catálogo KEV el mes pasado.

Atribución y contexto de la amenaza

De acuerdo con Cisco Talos, la explotación activa de CVE-2026-20182 se atribuye con un alto grado de confianza a un grupo rastreado como UAT-8616. Este mismo cluster se había vinculado anteriormente al uso de la vulnerabilidad CVE-2026-20127 para obtener acceso no autorizado a sistemas SD-WAN.

Los investigadores de Cisco Talos señalan que, tras explotar con éxito CVE-2026-20182, el grupo UAT-8616 llevó a cabo acciones similares a las observadas durante la explotación de CVE-2026-20127: intentos de añadir claves SSH, modificación de configuraciones NETCONF y escalada de privilegios hasta el nivel root. Se presume que la infraestructura de UAT-8616 se solapa con las denominadas redes Operational Relay Box (ORB). Debe tenerse en cuenta que la atribución se basa en datos de una única fuente de investigación y no ha sido confirmada de forma independiente por CISA.

Alcance de la campaña: 10 clusters de explotación

Desde marzo de 2026, según Cisco Talos, al menos 10 clusters de amenazas diferentes están explotando la cadena formada por CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122, utilizando código de exploit disponible públicamente. Los atacantes despliegan web shells en los sistemas comprometidos para ejecutar comandos bash arbitrarios. Uno de estos web shells basados en JSP ha recibido el nombre XenShell, tomado del código PoC publicado por ZeroZenX Labs.

La variedad de herramientas y objetivos de los clusters muestra lo amplio que es el espectro de atacantes implicados:

• Clusters 1 y 4 (desde principios de marzo de 2026): despliegue del web shell Godzilla y sus variantes
• Clusters 2 y 3 (desde principios de marzo de 2026): despliegue de los web shells Behinder, XenShell y sus combinaciones
• Cluster 5 (desde el 13 de marzo de 2026): agente malicioso compilado sobre el framework de pruebas de penetración AdaptixC2
• Cluster 6 (desde el 5 de marzo de 2026): framework de mando y control Sliver
• Clusters 7 y 9 (desde mediados o finales de marzo de 2026): cryptominer XMRig; el cluster 9 utiliza además la herramienta de tunelización gsocket
• Cluster 8 (desde el 10 de marzo de 2026): herramienta de escaneo KScan y un backdoor escrito en Nim, presumiblemente basado en NimPlant, con capacidades de operaciones sobre archivos, ejecución de comandos bash y recolección de información del sistema
• Cluster 10 (desde el 13 de marzo de 2026): ladrón de credenciales orientado a obtener volcados de hashes de administradores, fragmentos de claves JSON Web Token (JWT) para la autenticación en REST API y credenciales de AWS para vManage

El cluster 10 resulta especialmente preocupante: el robo de claves JWT y de credenciales de AWS de vManage implica que la compromisión del controlador SD-WAN puede convertirse en un punto de entrada para movimiento lateral hacia la infraestructura en la nube de la organización.

Evaluación del impacto

Cisco Catalyst SD-WAN es una plataforma ampliamente utilizada en redes corporativas y gubernamentales para gestionar infraestructuras distribuidas. Obtener acceso administrativo al controlador SD-WAN proporciona en la práctica al atacante el control sobre el enrutamiento del tráfico, las políticas de seguridad y la configuración de toda la infraestructura WAN de la organización.

La existencia de 10 clusters de explotación independientes operando desde principios de marzo de 2026 indica que las vulnerabilidades se están explotando de forma masiva desde hace más de dos meses. El espectro de amenazas abarca desde el espionaje (robo de credenciales, instalación de backdoors) hasta ataques con motivación financiera (cryptomining), lo que sugiere la implicación tanto de grupos APT como de atacantes menos cualificados que recurren a exploits públicos.

Recomendaciones prácticas

• Aplique inmediatamente los parches para CVE-2026-20182, CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122 según las recomendaciones de Cisco. El plazo fijado por CISA para las FCEB es el 17 de mayo de 2026, pero para el resto de organizaciones la prioridad debería ser equivalente
• Realice una auditoría de los sistemas comprometidos: compruebe la posible presencia de claves SSH no autorizadas, cambios en las configuraciones NETCONF, archivos JSP de web shells (Godzilla, Behinder, XenShell) y signos de escalada de privilegios hasta root
• Revise las credenciales: rote las contraseñas de administradores, las claves JWT de REST API y las credenciales de AWS asociadas a vManage, especialmente si los parches no se instalaron antes de mayo de 2026
• Restrinja el acceso de red a las interfaces de gestión de SD-WAN Controller y Manager; no deberían ser accesibles desde internet
• Monitorización: supervise la ejecución de procesos XMRig, las conexiones con infraestructura Sliver y AdaptixC2, así como la actividad de las herramientas KScan y gsocket en la red

El plazo de tres días establecido por CISA es un periodo excepcionalmente corto que refleja la criticidad de la situación. Las organizaciones que utilizan Cisco Catalyst SD-WAN deben tratar la instalación de los parches como una tarea de emergencia, y no como una actualización planificada, y al mismo tiempo llevar a cabo un análisis retrospectivo en busca de signos de compromisión desde marzo de 2026. Teniendo en cuenta que la explotación lleva produciéndose desde hace más de dos meses, la ausencia de parches muy probablemente implica que el sistema ya ha sido comprometido.