El 30 de septiembre de 2026, CISA incluyó en el catálogo de vulnerabilidades conocidas explotadas (KEV) la vulnerabilidad crítica CVE-2026-76504 en Cisco Catalyst SD-WAN Manager (vManage). La vulnerabilidad, con una puntuación CVSS de 9.8, permite que un atacante remoto no autenticado obtenga acceso al API del sistema con privilegios de administrador mediante el envío de una solicitud HTTP especialmente manipulada. Según Cisco, la explotación activa se ha observado en septiembre de 2026. No existen soluciones temporales: la única medida de protección es actualizar a una versión corregida. Las agencias federales civiles de Estados Unidos (FCEB) están obligadas a aplicar el parche antes del 3 de octubre de 2026.
Aspectos técnicos de la vulnerabilidad
Según el aviso de seguridad de Cisco, la vulnerabilidad está relacionada con el manejo incorrecto de la codificación de URI en las solicitudes HTTP al API de Cisco Catalyst SD-WAN Manager. La debilidad se clasifica como CWE-177 (gestión incorrecta de URL codificados). Un atacante puede eludir la regla de autenticación que limita el acceso a un recurso determinado utilizando variantes codificadas en URL de la ruta /j_security_check, por ejemplo, /%6a_security_check. Una explotación exitosa proporciona acceso completo al API con privilegios de administrador sin necesidad de conocer credenciales.
El vector de ataque es de red, la complejidad de explotación es baja y no se requiere interacción del usuario. El vector CVSS 3.1 completo es: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La entrada en la NVD confirma el nivel crítico de peligrosidad.
Versiones afectadas y correcciones
La vulnerabilidad afecta únicamente al componente Cisco Catalyst SD-WAN Manager (vManage); los controladores, validadores y routers de borde no requieren actualización en el marco de este aviso, tal como indica Cisco en la guía de remediación. La vulnerabilidad está presente con independencia de la configuración del sistema.
Versiones corregidas por ramas de lanzamiento:
- Anterior a 20.9 — es necesario migrar a una rama compatible
- 20.9 — corregido en 20.9.10.1
- 20.12 — corregido en 20.12.8.2
- 20.15 — corregido en 20.15.6.1
- 20.18 — corregido en 20.18.4.1
- 26.1 — corregido en 26.1.2.1
- 26.2 — corregido en 26.2.1
Explotación activa y falta de detalles
Cisco PSIRT informa de que se tuvo conocimiento de la explotación activa de CVE-2026-76504 en septiembre de 2026. Sin embargo, ni Cisco ni otras fuentes disponibles revelan qué grupo está detrás de los ataques, cuántas organizaciones han sido comprometidas, cuál es el alcance de la campaña ni cuándo se produjo el primer caso de explotación. Preocupa especialmente que los sistemas SD-WAN Manager accesibles desde internet corran el mayor riesgo de ser comprometidos.
Conviene destacar el contexto: esta no es la primera vulnerabilidad crítica en productos de Cisco en las últimas semanas. Anteriormente escribimos sobre el bypass de autenticación en Cisco ISE con CVSS 10.0, así como sobre la RCE crítica en Nexus 9000. La plataforma SD-WAN, que las empresas utilizan como panel de control unificado para grandes redes, sigue siendo un objetivo atractivo para los atacantes.
Detección de indicios de compromiso
Cisco recomienda comprobar dos archivos de log en busca de indicios de explotación, aunque advierte de que registros similares también pueden aparecer durante el funcionamiento normal del sistema; es necesario correlacionarlos con el comportamiento típico de la red de la organización:
- Registro del servicio proxy:
/var/log/nms/containers/service-proxy/serviceproxy-access.log— buscar peticiones POST a variantes codificadas en URL dej_security_check(por ejemplo,/%6a_security_check) desde direcciones IP desconocidas o no autorizadas - Registro de vManage:
/var/log/nms/vmanage-server.log— buscar solicitudes aj_security_checkdesde direcciones IP desconocidas, especialmente para cuentas con nombres que comiencen porviptela-reserved-
Procedimiento de respuesta
No hay soluciones temporales para CVE-2026-76504. Cisco recomienda la siguiente secuencia de acciones:
- Restringir el acceso a SD-WAN Manager desde redes no confiables, incluyendo internet. Si es necesario el acceso externo, permitir conexiones solo desde hosts confiables conocidos
- Recopilar los archivos admin-tech de todas las instancias de Catalyst SD-WAN Manager, incluidos los nodos del clúster y de recuperación ante desastres, antes de la actualización, para que no se pierdan los datos de diagnóstico
- Actualizar todos los Manager/vManage a la versión corregida indicada en la tabla anterior, verificando la compatibilidad con los controladores según la matriz de compatibilidad
- Abrir un caso con Cisco TAC y entregar los archivos admin-tech recopilados para escanearlos en busca de indicadores de compromiso
El plazo de tres días entre la publicación del aviso (30 de septiembre) y la fecha límite para las FCEB (3 de octubre), combinado con la ausencia de soluciones temporales y la explotación activa confirmada, convierte esta vulnerabilidad en una tarea de máxima prioridad. Las organizaciones que utilicen Cisco Catalyst SD-WAN Manager deben comprobar inmediatamente la versión del software, recopilar la información de diagnóstico y planificar la actualización: posponer el parche cuando hay explotación confirmada de una vulnerabilidad con CVSS 9.8 y vector de ataque de red sin requisito de autenticación es inaceptable.
