Amenazas Activas

Volver a la consola SOC
SOC THREAT INTELLIGENCE · v1.1
BAJANUEVA
Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability
PRIORIDAD SOCP434/100

Valoración operativa

Qué sabemosValoración basada en la evidencia textual importada. Riesgo 34/100 (BAJA). Se describe acceso o explotación sin autenticación previa. El vector descrito permite o contempla acceso remoto.
Qué hacer ahoraMantener monitorización; sin acción urgente sustentada.
Email SecuritySin relación directa identificada en las fuentes analizadas.
✓ vector remoto✓ sin autenticación previa✓ producto vulnerable✓ 2 IOC/artefactos extraídos

Valoración del analista

PRIORIDADP4 · BAJAConfianza Alta

La evidencia disponible no sustenta una actuación urgente; mantener monitorización.

Confirmado

  • Se describe un vector remoto o accesible por red.
  • La explotación o acceso descrito no requiere autenticación previa.
  • 2 IOC/artefactos estructurados extraídos de la información importada.

Inferido

  • Si una versión afectada está desplegada y expuesta, la superficie es compatible con explotación remota; requiere validar inventario, versión, servicio y exposición.
  • La prioridad organizativa final depende de la presencia real del producto afectado y de sus controles compensatorios.

No determinado

  • No se ha podido estructurar una severidad técnica completa desde la evidencia importada.
  • No se ha confirmado explotación activa en las fuentes correlacionadas.
  • No se ha confirmado disponibilidad pública de un exploit funcional.
  • No se ha identificado evidencia de que el correo electrónico sea vector o activo afectado.

SOC Priority Score

36/100
P4 · BAJAModelo explicable basado en evidencia disponible
Severidad técnica5/25
Explotabilidad14/20
Actividad real0/20
Exposición potencial7/15
Impacto operativo1/10
Inteligencia y actualidad9/10

Factores que elevan la prioridad

vector remoto · sin autenticación

Factores que la moderan

sin explotación activa confirmada

Qué podría cambiar la prioridad

confirmación de explotación activa o inclusión en CISA KEV · aparición de exploit público fiable · confirmación de que el activo afectado está desplegado y expuesto en la organización

La exposición es potencial hasta validar inventario y configuración de la organización. El score se recalcula cuando la amenaza vuelve a ingerirse y aparecen nuevas evidencias.

Fuente principalCisco PSIRT
TipoGeneral
TecnologíaNo identificada
ConfianzaAlta
Primera detección02/10/2026 23:18
Última observación14/10/2026 00:32

Inteligencia consolidada

A vulnerability in the API session-based authentication management of Cisco Catalyst SD-WAN Manager could allow an unauthenticated, remote attacker to access an affected system with privileges of the admin user. This vulnerability is due to improper handling of URI encoding in an HTTP request, which allows the request to bypass an authentication rule that is intended to restrict access to a specific API endpoint. An attacker could exploit this vulnerability by sending a crafted HTTP request to the API of the affected system. A successful exploit could allow the attacker to bypass authentication and gain access to the API as the admin user. Cisco has released software updates that address this vulnerability. There are no workarounds that address this vulnerability. Live Protect Shield Cisco has released a Live Protect shield for CVE-2026-76504 to provide temporary security coverage to allow time for software upgrade planning, including preserving any information that customers may require for governance or compliance purposes. This shield offers only temporary partial protection. The only way to remediate this vulnerability is to upgrade to the first fixed software release, as noted in the Fixed Releases section of this advisory. Cisco strongly recommends prioritizing system upgrades and scheduling them as soon as possible to ensure remediation. Before deploying the shield, read the following information: Side Effects/Limitation: If this shield is applied A legitimate user with URI encoding might not be able to login to SDWAN Manager. For more information about Live Protect for Cisco Catalyst SD-WAN, see https://www.cisco.com/c/en/us/td/docs/routers/sdwan/26x-later/network-monitoring/network-monitoring-guide/live-protect-for-cisco-catalyst-sd-wan.html. This advisory is a…

Consultas de investigación SOC

Hipótesis generadas solo a partir de señales presentes en las fuentes. Adáptalas a la sintaxis de tu SIEM/EDR.

DNS / ProxyBuscar conexiones, resoluciones y accesos a: www.cisco.com
Proxy / WebBuscar accesos a las URL publicadas: https://www.cisco.com/c/en/us/td/docs/routers/sdwan/26x-later/network-monitoring/network-monitoring-guide/live-protect-for-cisco-catalyst-sd-wan.html.
Inventario / SIEMLocalizar el producto o tecnología afectada y revisar versión, exposición, autenticaciones y eventos anómalos en la ventana temporal.

Consultas de hunting copiables

Generadas exclusivamente cuando existen IOC estructurados. Son consultas base: valida índices, tablas y nombres de campo antes de utilizarlas.

SplunkConsulta base · validar campos del entorno
index=* (query IN ("www.cisco.com") OR url_domain IN ("www.cisco.com") OR sender_domain IN ("www.cisco.com"))
Microsoft DefenderConsulta base · adaptar tablas/campos
union DeviceNetworkEvents, EmailUrlInfo | where RemoteUrl in~ ("www.cisco.com") or UrlDomain in~ ("www.cisco.com")

IOC y artefactos observados

Hunting y detección

Guía operativa para validar exposición, localizar señales y decidir cuándo escalar la investigación.

01 · HIPÓTESIS DE INVESTIGACIÓN
  1. Comprobar si existen activos con el producto y versiones afectadas y si estuvieron accesibles durante la ventana de actividad.
  2. Buscar conexiones y accesos anómalos hacia el servicio afectado desde orígenes no habituales.
  3. Priorizar eventos de acceso o cambios administrativos sin una autenticación previa correlacionable.
02 · SEÑALES A VALIDAR
Dominios: www.cisco.com
URL: https://www.cisco.com/c/en/us/td/docs/routers/sdwan/26x-later/network-monitoring/network-monitoring-guide/live-protect-for-cisco-catalyst-sd-wan.html.
03 · CRITERIO DE ESCALADOEscalar cuando exista evidencia coincidente o exposición confirmada
  • Activo afectado confirmado y expuesto
  • Coincidencia de IOC con actividad interna
  • Acceso privilegiado o cambio sin autenticación correlacionable

Respuesta y mitigación

Plan de actuación ordenado por fases, separando medidas verificadas de acciones condicionadas por la evidencia.

PRIORIDAD OPERATIVAP4
RESPONSABLE SUGERIDOSOC + Infraestructura / propietario del activo
01

Acción inmediata

  • CONDICIONALConfirmar inventario, versión y exposición real del producto afectado antes de ejecutar cambios.
02

Contención

  • CONDICIONALBloquear o aislar IOC únicamente tras validar contexto, maliciosidad y posible impacto de falsos positivos.
03

Mitigación temporal

  • CONFIRMADOConsultar y aplicar únicamente workarounds o mitigaciones temporales publicados por Cisco PSIRT o por el fabricante.
04

Remediación definitiva

  • CONDICIONALActualizar a una versión corregida o aplicar la remediación oficial cuando se confirme que el activo está afectado.
05

Validación posterior

  • INFERIDORepetir inventario y búsqueda de telemetría después de la remediación para confirmar que la exposición y la actividad asociada han desaparecido.
  • INFERIDOMantener vigilancia temporal sobre los IOC confirmados y comprobar que no reaparecen coincidencias.
ConfirmadoInferidoCondicional

Las medidas oficiales de la fuente o del fabricante prevalecen sobre cualquier inferencia analítica.

Evolución de prioridad

03/10 10:4252 → 34BAJA

Registra cambios del score cuando nuevas evidencias modifican la valoración automática.

MITRE ATT&CK

Correlaciones sustentadas por la evidencia disponible. Abre la técnica para contrastarla en MITRE ATT&CK.

T1190Exploit Public-Facing Application
INFERIDACONFIANZA MEDIA
EVIDENCIA DE CORRELACIÓN

Vulnerabilidad con vector remoto; confirmar que el producto afectado esté expuesto públicamente.

Ver técnica en MITRE ATT&CK

Cronología de inteligencia

PUBLICACIÓNPrimera publicación observadaCisco PSIRT
FUENTEEvidencia correlacionada incorporadaCisco PSIRT
PRIORIDADSOC Priority Score 52 → 34Cisco PSIRT
ACTUALIZACIÓNÚltima observación o actualización registradaCisco PSIRT

Evidencia y fuentes correlacionadas

Cisco PSIRT02/10/2026 23:18Abrir evidencia