Los atacantes han estado explotando un par de vulnerabilidades de día cero en el software de red de Cisco durante al menos tres años, y la campaña global está en curso, dijeron las autoridades a través de una serie de advertencias publicadas el miércoles.

La Agencia de Seguridad de Infraestructura y Ciberseguridad emitió un directiva de emergencia sobre los ataques globales y emitidos Orientación conjunta con los Cinco Ojos. para ayudar a los defensores a responder y buscar evidencia de compromiso.

Esto marca la segunda serie de múltiples vulnerabilidades de día cero explotadas activamente en la tecnología de punta de Cisco desde la primavera pasada. Ambas campañas dieron lugar a directivas de emergencia de CISA meses después de que se detectaran los ataques por primera vez, y ambas oleadas de ataques estuvieron en marcha durante al menos un año antes de que fueran identificadas.

Las autoridades se abstuvieron de atribuir los ataques a ningún estado nación o grupo amenazador. Los investigadores de Cisco Talos asignaron los exploits y la actividad posterior al compromiso a UAT-8616, al que sólo describieron como un “actor de amenazas altamente sofisticado”.

El «intento de explotación del grupo de actividades indica una tendencia continua de apuntar a dispositivos de borde de red por parte de actores de amenazas cibernéticas para establecer puntos de apoyo persistentes en organizaciones de alto valor, incluidos sectores de infraestructura críticos», dijo Cisco Talos en un aviso de amenazas.

La actividad maliciosa vinculada a esta campaña tiene un gran alcance y los atacantes han explotado las vulnerabilidades en sistemas específicos para acceder y potencialmente comprometer las redes federales, dijo Nick Andersen, subdirector ejecutivo de ciberseguridad de CISA, durante una conferencia de prensa el miércoles.

Andersen se negó a decir cuándo CISA tuvo conocimiento de esta actividad por primera vez y no proporcionó detalles sobre las víctimas potenciales, y agregó que los funcionarios están trabajando en las etapas iniciales de mitigación.

En la guía de búsqueda de amenazas publicada conjuntamente, Five Eyes dijo que todos los miembros estaban conscientes de que el día cero más reciente… CVE-2026-20127 – fue identificado y confirmado como explotado activamente a fines de 2025. Los funcionarios y Cisco no explicaron por qué tomó al menos dos meses revelar y parchear la vulnerabilidad, y compartir orientación de mitigación de emergencia.

Los atacantes están obteniendo el control total de un sistema en una cadena al explotar CVE-2026-20127 para evitar la autenticación y luego degradar el software a una versión vulnerable a CVE-2022-20775 para aumentar los privilegios, dijo Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7.

«Ese segundo paso les permite pasar del control administrativo a la raíz del sistema operativo subyacente. Ese paso a la degradación muestra un conocimiento deliberado de las versiones del producto y del historial de parches», dijo a CyberScoop. «Esto no es un escaneo oportunista. Es un arte estructurado».

CISA agregó CVE-2022-20775 y CVE-2026-20127 a su catálogo de vulnerabilidades explotadas conocidas Miércoles.

La brecha de tres años entre los ataques iniciales conocidos y la explotación detectada de los días cero muestra el uso quirúrgico de las vulnerabilidades por parte de los atacantes y la naturaleza altamente dirigida de su campaña, dijo Ben Harris, fundador y director ejecutivo de watchTowr.

La línea de tiempo y la ruta de ataque conocida también indican una disciplina operativa que permitió a los atacantes mantener el acceso a largo plazo en la infraestructura de red crítica sin activar alarmas, dijo McKee. Esas actividades se alinean “más estrechamente con el espionaje patrocinado por el Estado que con delitos con motivación financiera”, añadió.

La directiva de emergencia de CISA requiere que las agencias federales realicen un inventario de todos los sistemas Cisco SD-WAN vulnerables, recopilen registros de esos sistemas, apliquen las actualizaciones de seguridad de Cisco, busquen evidencia de compromiso y sigan La guía de Cisco para el viernes.

La última campaña dirigida a la tecnología de borde de red de Cisco comparte muchas similitudes con otra serie de ataques sobre los que Cisco advirtió en septiembre. Esos ataques, que involucraron al menos dos días cero explotados activamente, estuvieron en marcha durante al menos un año antes de ser descubiertos por primera vez en mayo.

Cisco no respondió preguntas sobre posibles conexiones entre las campañas. El vendedor y los funcionarios también han evitado hasta ahora compartir detalles sobre lo que ocurrió detrás de escena durante estos ataques sostenidos.

Un portavoz de Cisco instó a los clientes a actualizar el software y seguir orientación de su asesor.

Desafortunadamente, es demasiado tarde para que algunos clientes de Cisco SD-WAN apliquen parches, dijo Harris. «El consejo de Cisco de reconstruir completamente y buscar señales previas de intrusión debe tomarse en serio».