Cisco CVE-2026-20262: segon zero-day de SD-WAN Manager en dues setmanes, sota explotacio activa i amb escalada a root documentada al pla de gestio de tota la infraestructura WAN

Cisco va publicar el 15 i 16 de juny un nou avís de seguretat sobre CVE-2026-20262, un error d'escriptura arbitraria de fitxers a la interfície web de Cisco Catalyst SD-WAN Manager (abans SD-WAN vManage) que el seu equip PSIRT confirma està sent explotat de forma limitada i dirigida en atacs reals. L'error permet a un atacant autenticat amb privilègis d'escriptura crear o sobreescriure qualsevol fitxer del sistema operatiu subjacent mitjançant peticions HTTP manipulades, cosa que pot aprofitar-se per escalar a root. La CISA el va afegir al catàleg KEV amb termini de remediació per a agències federals el 29 de juny de 2026. És el segon zero-day de Cisco SD-WAN Manager publicat en dues setmanes i el sisè CVE explotat a la mateixa plataforma des del febrer de 2026.

‍

Què se sap de CVE-2026-20262 i l'explotacio activa confirmada?

• Vulnerabilitat: escriptura arbitraria de fitxers (path traversal + improper input validation) a la interfície web de Cisco Catalyst SD-WAN Manager. L'endpoint API afectat no valida correctament l'input durant les operacions de pujada de fitxers.
• CVSS 6.5 (Medium) amb explotacio activa confirmada: Cisco PSIRT va confirmar explotacio limitada i dirigida al juny de 2026, indicant un actor sofisticat amb objectius especifics.
• Requisit d'explotacio: credencials valides amb almenys accés d'escriptura (write access).
• Afecta tots els tipus de desplegament: on-prem, Cloud-Pro, Cisco Managed i FedRAMP.
• Escalada a root mitjançant fitxers maliciosos: pujada de fitxers .war o .jsp maliciosos a rutes del sistema. Els IOCs de Cisco inclouen cerca d'index.jsp i fitxers .war als logs vmanage-server, vmanage-appserver i serviceproxy-access.
• CISA KEV: termini federal: 29 de juny de 2026.
• Pedac disponible: Cisco va llanyar actualitzacions el 15-16 de juny.

‍

Per què Cisco SD-WAN Manager es un objectiu d'alt valor sistematic

CVE-2026-20262 es el sisè CVE explotat a Cisco Catalyst SD-WAN Manager des del febrer de 2026. El historial inclou CVE-2026-20133, CVE-2026-20128, CVE-2026-20122, CVE-2026-20127, CVE-2026-20245 i ara CVE-2026-20262.

1. SD-WAN Manager gestiona fins a 6.000 dispositius WAN des d'un unic panell. Comprometre el gestor equival a comprometre tota la xarxa de sucursals, oficines remotes i enllaços WAN.
2. Es el pla de control de la infraestructura critica de xarxa. Amb root, un atacant pot modificar les politiques de firewall distribuïdes i alterar l'enrutament del tràfic sensible.
3. Les credencials de write access son mes comuns del que s'espera. CVE-2026-20262 converteix un accés limitat en control total del sistema.
4. El patro de 6 CVEs en 4 mesos assenyala investigacio activa per actors d'amenaya. El tipus d'actor que explota un zero-day abans que sigui divulgat no es un script kiddie.

‍

Com funciona l'atac: de l'escriptura de fitxers a l'escalada root

1. Accés inicial amb credencials de baix privilegi.
2. Peticio HTTP manipulada a l'endpoint API vulnerable amb sequències de path traversal.
3. Escriptura de fitxer maliciós (.war o .jsp) en una ruta executada pel servidor de vManage.
4. Escalada a root quan el servidor executa el fitxer maliciós.
5. Post-explotacio al pla de gestio WAN: accés complet a la configuracio de tots els dispositius gestionats.

‍

Lliçons clau i checklist de mitigacio

Pas 1: Aplicar el pedac immediatament.

• Actualitzar Cisco Catalyst SD-WAN Manager a la versio que inclou el fix per a CVE-2026-20262.

Pas 2: Verificar IOCs als logs des de l'1 de juny.

• Revisar els logs vmanage-server, vmanage-appserver i serviceproxy-access per a pujades d'index.jsp o fitxers .war.

Pas 3: Auditar comptes amb write access.

• Revisar tots els comptes amb permisos d'escriptura. Habilitar MFA. Rotar credencials.

Pas 4: Reduir la superficie d'exposicio.

• Restringir l'accés a la interfície web mitjançant ACLs o bastion host. Segmentar la xarxa de gestio.

‍

La ciberseguretat com a prioritat estrategica

CVE-2026-20262 es el sisè CVE explotat a Cisco Catalyst SD-WAN Manager des del febrer de 2026. Per a les organitzacions espanyoles amb desplegaments de Cisco SD-WAN, la pregunta d'avui es directa: està Catalyst SD-WAN Manager actualitzat a la versio que inclou el pedac de CVE-2026-20262?

‍

Apolo Cybersecurity: avaluacio i proteccio d'infraestructura Cisco SD-WAN

A Apolo Cybersecurity ajudem organitzacions amb Cisco Catalyst SD-WAN Manager a verificar l'exposicio davant CVE-2026-20262: revisió dels logs d'IOCs de Cisco PSIRT, aplicació urgent del pedac, auditoria de comptes amb write access i configuració MFA, i avaluació del risc acumulat pel patro sistematic d'explotacio de la plataforma.

‍