Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Cisco SD-WAN: petición codificada elude la autenticación de la API.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, Cisco comunicó explotación activa de CVE-2026-76504 en Catalyst SD-WAN Manager.

La publicación describe un fallo de codificación de URI en el tratamiento de sesiones de la API que puede permitir eludir una regla de autenticación con una petición HTTP preparada.

El acceso resultante podría usar la identidad de administrador sin credenciales previas; la puntuación CVSS indicada es 9,8.

La fuente indica que existen versiones corregidas y que no hay una solución alternativa que sustituya la actualización.

The Hacker News recoge la recomendación de Cisco de limitar el acceso al Manager desde redes no seguras mientras se actualiza.

La publicación señala dos registros para investigar accesos al endpoint de inicio de sesión desde direcciones IP desconocidas o no autorizadas.

Análisis de Defensops

El riesgo operativo se concentra en el plano de gestión de SD-WAN: una interfaz administrativa accesible por red ofrece un punto de entrada especialmente sensible cuando la autenticación se puede eludir. La exposición a internet incrementa la oportunidad de ataque, aunque la fuente dice que el fallo afecta al producto con independencia de la configuración.

La explotación activa comunicada por Cisco, tal como la relata The Hacker News, justifica priorizar la revisión de instancias expuestas y su actualización. El acceso potencial como administrador describe el alcance técnico del fallo; no permite concluir qué operaciones realizaron los atacantes en incidentes concretos.

Los indicios en registros requieren contexto. Las rutas de inicio de sesión con caracteres codificados pueden aparecer también durante operaciones normales, por lo que cada coincidencia debe contrastarse con la dirección de origen y la actividad habitual antes de clasificarla como compromiso.

Prioridades de revisión

Inventariar los despliegues de Cisco Catalyst SD-WAN Manager y comprobar la versión instalada frente a las versiones corregidas que recoge la publicación y la documentación del fabricante.

Priorizar la actualización de los Managers accesibles desde redes no confiables; restringir mientras tanto el acceso administrativo a hosts de confianza y segmentos de gestión.

Revisar los registros de acceso del proxy de servicio y de vManage para detectar peticiones al endpoint de sesión desde IP desconocidas, considerando variantes con caracteres URI codificados.

Correlacionar cualquier indicio con el patrón normal de acceso y conservar la evidencia antes de hacer cambios si se sospecha un compromiso.

Consultar al soporte de Cisco para analizar una posible intrusión; la publicación indica que el fabricante solicita el archivo de diagnóstico admin-tech para esa evaluación.

Qué no se ha confirmado

La publicación no concreta cuántas organizaciones fueron atacadas, cuándo comenzaron los ataques ni quién los realizó.

Tampoco detalla las acciones ejecutadas mediante el acceso obtenido ni confirma que la actualización por sí sola elimine una intrusión previa.

Esta síntesis se basa en la información atribuida por The Hacker News a Cisco; Defensops no ha verificado de forma independiente el incidente.

Fuente

The Hacker News. Fecha indicada: 2026-09-30.