Amenazas Activas

Volver a la consola SOC
SOC THREAT INTELLIGENCE · v1.1
MEDIAINACTIVA
Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability
PRIORIDAD SOCP344/100

Valoración operativa

Qué sabemosValoración basada en la evidencia textual importada. Riesgo 44/100 (MEDIA). Se describe acceso o explotación sin autenticación previa. El vector descrito permite o contempla acceso remoto.
Qué hacer ahoraValidar presencia del producto/IOC y mantener seguimiento.
Email SecuritySin relación directa identificada en las fuentes analizadas.
✓ vector remoto✓ sin autenticación previa✓ producto vulnerable

Valoración del analista

PRIORIDADP3 · MEDIAConfianza Media

La amenaza requiere comprobar exposición y mantener seguimiento activo.

Confirmado

  • Se describe un vector remoto o accesible por red.
  • La explotación o acceso descrito no requiere autenticación previa.

Inferido

  • Si una versión afectada está desplegada y expuesta, la superficie es compatible con explotación remota; requiere validar inventario, versión, servicio y exposición.
  • La prioridad organizativa final depende de la presencia real del producto afectado y de sus controles compensatorios.

No determinado

  • No se ha podido estructurar una severidad técnica completa desde la evidencia importada.
  • No se ha confirmado explotación activa en las fuentes correlacionadas.
  • No se ha confirmado disponibilidad pública de un exploit funcional.
  • No se ha identificado evidencia de que el correo electrónico sea vector o activo afectado.
  • No hay IOC estructurados suficientes para bloqueo, atribución o hunting basado en indicadores.

SOC Priority Score

44/100
P3 · MEDIAModelo explicable basado en evidencia disponible
Severidad técnica5/25
Explotabilidad14/20
Actividad real0/20
Exposición potencial12/15
Impacto operativo6/10
Inteligencia y actualidad7/10

Factores que elevan la prioridad

vector remoto · sin autenticación

Factores que la moderan

sin explotación activa confirmada · sin IOC estructurados

Qué podría cambiar la prioridad

confirmación de explotación activa o inclusión en CISA KEV · aparición de exploit público fiable · confirmación de que el activo afectado está desplegado y expuesto en la organización

La exposición es potencial hasta validar inventario y configuración de la organización. El score se recalcula cuando la amenaza vuelve a ingerirse y aparecen nuevas evidencias.

Fuente principalCisco PSIRT
TipoGeneral
TecnologíaNo identificada
ConfianzaAlta
Primera detección16/06/2026 17:39
Última observación19/08/2026 23:03

Inteligencia consolidada

May 2026: This security advisory provides the details and fix information for a vulnerability that was discovered and fixed after the Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability was disclosed in February 2026. This new advisory is for a new vulnerability in the control connection handshaking. The Indicators of Compromise section of this advisory includes Show Control Connections guidance to help with system checks.  A vulnerability in the peering authentication in Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, and Cisco Catalyst SD-WAN Validator, formerly SD-WAN vBond, could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to the affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric. Cisco has released software updates that address this vulnerability. There are no workarounds that address this vulnerability.  Important: To preserve possible indicators of compromise, customers should issue the request admin-tech command from each of the control components in the SD-WAN deployment before upgrading. After the admin-tech file has been collected, software should be upgraded at the earliest opportunity.  Before upgrading an SD-WAN deploymen…

Consultas de investigación SOC

Hipótesis generadas solo a partir de señales presentes en las fuentes. Adáptalas a la sintaxis de tu SIEM/EDR.

Inventario / SIEMLocalizar el producto o tecnología afectada y revisar versión, exposición, autenticaciones y eventos anómalos en la ventana temporal.

Hunting y detección

Guía operativa para validar exposición, localizar señales y decidir cuándo escalar la investigación.

01 · HIPÓTESIS DE INVESTIGACIÓN
  1. Comprobar si existen activos con el producto y versiones afectadas y si estuvieron accesibles durante la ventana de actividad.
  2. Buscar conexiones y accesos anómalos hacia el servicio afectado desde orígenes no habituales.
  3. Priorizar eventos de acceso o cambios administrativos sin una autenticación previa correlacionable.
02 · SEÑALES A VALIDAR
Sin IOC estructurados confirmados; basar el hunting en producto, versión, exposición y comportamiento descrito.
03 · CRITERIO DE ESCALADOEscalar cuando exista evidencia coincidente o exposición confirmada
  • Activo afectado confirmado y expuesto
  • Acceso privilegiado o cambio sin autenticación correlacionable

Respuesta y mitigación

Plan de actuación ordenado por fases, separando medidas verificadas de acciones condicionadas por la evidencia.

PRIORIDAD OPERATIVAP3
RESPONSABLE SUGERIDOSOC + Infraestructura / propietario del activo
01

Acción inmediata

  • CONDICIONALConfirmar inventario, versión y exposición real del producto afectado antes de ejecutar cambios.
02

Contención

  • NO DETERMINADONo hay evidencia suficiente para recomendar contención automática.
03

Mitigación temporal

  • CONFIRMADOConsultar y aplicar únicamente workarounds o mitigaciones temporales publicados por Cisco PSIRT o por el fabricante.
04

Remediación definitiva

  • CONDICIONALActualizar a una versión corregida o aplicar la remediación oficial cuando se confirme que el activo está afectado.
05

Validación posterior

  • INFERIDORepetir inventario y búsqueda de telemetría después de la remediación para confirmar que la exposición y la actividad asociada han desaparecido.
ConfirmadoInferidoCondicional

Las medidas oficiales de la fuente o del fabricante prevalecen sobre cualquier inferencia analítica.

Evolución de prioridad

17/08 23:3540 → 44MEDIA

Registra cambios del score cuando nuevas evidencias modifican la valoración automática.

MITRE ATT&CK

Correlaciones sustentadas por la evidencia disponible. Abre la técnica para contrastarla en MITRE ATT&CK.

T1190Exploit Public-Facing Application
INFERIDACONFIANZA MEDIA
EVIDENCIA DE CORRELACIÓN

Vulnerabilidad con vector remoto; confirmar que el producto afectado esté expuesto públicamente.

Ver técnica en MITRE ATT&CK

Cronología de inteligencia

PUBLICACIÓNPrimera publicación observadaCisco PSIRT
FUENTEEvidencia correlacionada incorporadaCisco PSIRT
PRIORIDADSOC Priority Score 40 → 44Cisco PSIRT
ACTUALIZACIÓNÚltima observación o actualización registradaCisco PSIRT

Evidencia y fuentes correlacionadas

Cisco PSIRT16/06/2026 17:39Abrir evidencia