{"id":1295,"date":"2026-06-25T06:52:22","date_gmt":"2026-06-25T06:52:22","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/cisco-catalyst-sd-wan-zero-day-cve-2026-20245-explotado-para-obtener-acceso-raiz-cyberdefensa-mx\/"},"modified":"2026-06-25T06:52:22","modified_gmt":"2026-06-25T06:52:22","slug":"cisco-catalyst-sd-wan-zero-day-cve-2026-20245-explotado-para-obtener-acceso-raiz-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/cisco-catalyst-sd-wan-zero-day-cve-2026-20245-explotado-para-obtener-acceso-raiz-cyberdefensa-mx\/","title":{"rendered":"Cisco Catalyst SD-WAN Zero-Day CVE-2026-20245 explotado para obtener acceso ra\u00edz \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Un actor de amenazas desconocido aprovech\u00f3 una falla de seguridad de alta gravedad recientemente revelada que afectaba a Cisco Catalyst SD-WAN como un d\u00eda cero al menos dos meses antes de que se revelara p\u00fablicamente, seg\u00fan nuevos hallazgos de Mandiant, propiedad de Google.<\/p>\n

La vulnerabilidad, rastreada como CVE-2026-20245 (puntuaci\u00f3n CVSS: 7,8), permite a un atacante local autenticado ejecutar comandos arbitrarios con privilegios elevados proporcionando un archivo manipulado al sistema afectado aprovechando la validaci\u00f3n insuficiente del dispositivo de la entrada proporcionada por el usuario.<\/p>\n

A principios de este mes, Cisco reconoci\u00f3 que se dio cuenta de la explotaci\u00f3n de esta vulnerabilidad y agreg\u00f3 que un actor malicioso debe tener privilegios de administrador de red en un sistema afectado para realizar un ataque exitoso.<\/p>\n

\u00abA lo largo de la intrusi\u00f3n, para mantener la seguridad operativa y evitar la detecci\u00f3n, el actor de amenazas emple\u00f3 constantemente t\u00e9cnicas antiforenses, eliminando y restaurando selectivamente archivos de configuraci\u00f3n del sistema que fueron modificados durante sus actividades\u00bb, los investigadores de Mandiant Chester Sng, Pete Boonyakarn y Logeswaran Nadarajan. dicho<\/a>.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El incidente, agreg\u00f3 el brazo de inteligencia de amenazas y respuesta a incidentes del gigante tecnol\u00f3gico, tuvo como objetivo a un proveedor de servicios de comunicaciones no especificado para elevar una cuenta de administrador comprometida a acceso completo a nivel de ra\u00edz.<\/p>\n

Se han detectado dos per\u00edodos distintos de actividad no autorizada, uno que tuvo lugar entre finales de 2025 y enero de 2026 y el otro en marzo de 2026. En este momento, no est\u00e1 claro si estos dos eventos est\u00e1n conectados y son el trabajo del mismo actor de amenazas.<\/p>\n

Durante la primera ola, se dice que la v\u00edctima experiment\u00f3 conexiones de peering no autorizadas que probablemente explotaron una de las dos fallas de omisi\u00f3n de autenticaci\u00f3n en los controladores Cisco Catalyst SD-WAN (CVE-2026-20127 o CVE-2026-20182). Vale la pena se\u00f1alar que ambas vulnerabilidades de seguridad eran d\u00edas cero no reveladas en ese momento.<\/a><\/p>\n

Luego, en marzo de 2026, una segunda oleada de conexiones de peering no autorizadas tuvo como objetivo un dispositivo que ejecutaba una versi\u00f3n de software m\u00e1s nueva que fue parcheada contra CVE-2026-20127. Desde entonces, Cisco ha confirmado que estas conexiones no aprovecharon CVE-2026-20182, lo que plantea la posibilidad de que el atacante, que puede haber estado o no detr\u00e1s de las conexiones de intercambio de tr\u00e1fico no autorizadas anteriores, se bas\u00f3 en certificados robados de una infracci\u00f3n anterior del mismo dispositivo para obtener acceso inicial.<\/p>\n

\u00abLuego, el atacante cambi\u00f3 las credenciales de administrador predeterminadas antes de explotar CVE-2026-20245 como d\u00eda cero mediante la carga de un archivo CSV malicioso (evil_tenant.csv)\u00bb, dijo Mandiant. \u00abEste exploit les permiti\u00f3 escalar privilegios y crear una cuenta de usuario fraudulenta (llamada ‘troot’) con control total de shell a nivel de ra\u00edz\u00bb.<\/p>\n

Tambi\u00e9n se ha descubierto que los atacantes cubren constantemente sus huellas eliminando archivos creados por ellos, revirtiendo los cambios de configuraci\u00f3n y ejecutando scripts para garantizar que no quede ninguna evidencia y limitar la capacidad de los defensores para evaluar el alcance total del compromiso.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abDespu\u00e9s de cambiar la contrase\u00f1a de administrador predeterminada y filtrar la configuraci\u00f3n de la estructura SD-WAN, el actor volvi\u00f3 a cambiar la contrase\u00f1a a su valor original para que un administrador que iniciara sesi\u00f3n no notara que algo estaba mal\u00bb, Austin Larsen, analista principal de amenazas de Google Threat Intelligence Group (GTIG), dicho<\/a>.<\/p>\n

\u00abEscalaron a root a trav\u00e9s de una carga CSV maliciosa, crearon una cuenta \u00abtroot\u00bb oculta en \/etc\/passwd y \/etc\/shadow, luego eliminaron todos los archivos que tocaron y ejecutaron un script de validaci\u00f3n para confirmar que sus indicadores hab\u00edan desaparecido\u00bb.<\/p>\n

Google se\u00f1al\u00f3 que la actividad resalta una vez m\u00e1s la \u00abtendencia continua\u00bb de los malos actores que utilizan los d\u00edas cero como armas en dispositivos de borde como SD-WAN, ya que carecen de la telemetr\u00eda necesaria para un an\u00e1lisis forense profundo, y un punto de apoyo en esos sistemas puede facilitar la visibilidad persistente del tr\u00e1fico interno en todo el tejido.<\/p>\n

\u00abLos adversarios avanzados contin\u00faan atacando y explotando principalmente dispositivos de red y otros sistemas que no soportan de forma nativa soluciones EDR\u00bb, dijo Charles Carmakal, director de tecnolog\u00eda de Mandiant Consulting, dicho<\/a> en una publicaci\u00f3n en LinkedIn. <\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Un actor de amenazas desconocido aprovech\u00f3 una falla de seguridad de alta gravedad recientemente revelada que afectaba a Cisco Catalyst SD-WAN como un d\u00eda cero al menos dos meses antes de que se revelara p\u00fablicamente, seg\u00fan nuevos hallazgos de Mandiant, propiedad de Google. La vulnerabilidad, rastreada como CVE-2026-20245 (puntuaci\u00f3n CVSS: 7,8), permite a un atacante […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[68,501,62,2948,24,66,735,36,860,63,64],"class_list":["post-1295","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceso","tag-catalyst","tag-cisco","tag-cve202620245","tag-cyberdefensa-mx","tag-explotado","tag-obtener","tag-para","tag-raiz","tag-sdwan","tag-zeroday"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1295","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1295"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1295\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1295"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1295"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1295"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}