{"id":68,"date":"2026-02-26T19:01:07","date_gmt":"2026-02-26T19:01:07","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/02\/26\/governments-issue-warning-over-cisco-zero-day-attacks-dating-back-to-2023\/"},"modified":"2026-02-26T19:01:07","modified_gmt":"2026-02-26T19:01:07","slug":"governments-issue-warning-over-cisco-zero-day-attacks-dating-back-to-2023","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/02\/26\/governments-issue-warning-over-cisco-zero-day-attacks-dating-back-to-2023\/","title":{"rendered":"Governments issue warning over Cisco zero-day attacks dating back to 2023"},"content":{"rendered":"<div>\n<p>Los atacantes han estado explotando un par de vulnerabilidades de d\u00eda cero en el software de red de Cisco durante al menos tres a\u00f1os, y la campa\u00f1a global est\u00e1 en curso, dijeron las autoridades a trav\u00e9s de una serie de advertencias publicadas el mi\u00e9rcoles.<\/p>\n<p>La Agencia de Seguridad de Infraestructura y Ciberseguridad emiti\u00f3 un <a href=\"https:\/\/www.cisa.gov\/news-events\/directives\/ed-26-03-mitigate-vulnerabilities-cisco-sd-wan-systems\">directiva de emergencia<\/a> sobre los ataques globales y emitidos <a href=\"https:\/\/www.cisa.gov\/news-events\/directives\/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems\">Orientaci\u00f3n conjunta con los Cinco Ojos.<\/a> para ayudar a los defensores a responder y <a href=\"https:\/\/www.cyber.gov.au\/sites\/default\/files\/2026-02\/ACSC-led%20Cisco%20SD-WAN%20Hunt%20Guide.pdf\">buscar evidencia de compromiso<\/a>.<\/p>\n<p>Esto marca la segunda serie de m\u00faltiples vulnerabilidades de d\u00eda cero explotadas activamente en la tecnolog\u00eda de punta de Cisco desde la primavera pasada. Ambas campa\u00f1as dieron lugar a directivas de emergencia de CISA meses despu\u00e9s de que se detectaran los ataques por primera vez, y ambas oleadas de ataques estuvieron en marcha durante al menos un a\u00f1o antes de que fueran identificadas.<\/p>\n<p>Las autoridades se abstuvieron de atribuir los ataques a ning\u00fan estado naci\u00f3n o grupo amenazador. Los investigadores de Cisco Talos asignaron los exploits y la actividad posterior al compromiso a <a href=\"https:\/\/blog.talosintelligence.com\/uat-8616-sd-wan\/\">UAT-8616,<\/a> al que s\u00f3lo describieron como un \u201cactor de amenazas altamente sofisticado\u201d.<\/p>\n<p>El \u00abintento de explotaci\u00f3n del grupo de actividades indica una tendencia continua de apuntar a dispositivos de borde de red por parte de actores de amenazas cibern\u00e9ticas para establecer puntos de apoyo persistentes en organizaciones de alto valor, incluidos sectores de infraestructura cr\u00edticos\u00bb, dijo Cisco Talos en un aviso de amenazas.<\/p>\n<p>La actividad maliciosa vinculada a esta campa\u00f1a tiene un gran alcance y los atacantes han explotado las vulnerabilidades en sistemas espec\u00edficos para acceder y potencialmente comprometer las redes federales, dijo Nick Andersen, subdirector ejecutivo de ciberseguridad de CISA, durante una conferencia de prensa el mi\u00e9rcoles. <\/p>\n<p>Andersen se neg\u00f3 a decir cu\u00e1ndo CISA tuvo conocimiento de esta actividad por primera vez y no proporcion\u00f3 detalles sobre las v\u00edctimas potenciales, y agreg\u00f3 que los funcionarios est\u00e1n trabajando en las etapas iniciales de mitigaci\u00f3n.<\/p>\n<p>En la gu\u00eda de b\u00fasqueda de amenazas publicada conjuntamente, Five Eyes dijo que todos los miembros estaban conscientes de que el d\u00eda cero m\u00e1s reciente&#8230; <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-20127\">CVE-2026-20127<\/a> \u2013 fue identificado y confirmado como explotado activamente a fines de 2025. Los funcionarios y Cisco no explicaron por qu\u00e9 tom\u00f3 al menos dos meses revelar y parchear la vulnerabilidad, y compartir orientaci\u00f3n de mitigaci\u00f3n de emergencia. <\/p>\n<p>Los atacantes est\u00e1n obteniendo el control total de un sistema en una cadena al explotar CVE-2026-20127 para evitar la autenticaci\u00f3n y luego degradar el software a una versi\u00f3n vulnerable a <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/cve-2022-20775\">CVE-2022-20775<\/a> para aumentar los privilegios, dijo Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7.<\/p>\n<p>\u00abEse segundo paso les permite pasar del control administrativo a la ra\u00edz del sistema operativo subyacente. Ese paso a la degradaci\u00f3n muestra un conocimiento deliberado de las versiones del producto y del historial de parches\u00bb, dijo a CyberScoop. \u00abEsto no es un escaneo oportunista. Es un arte estructurado\u00bb.<\/p>\n<p>CISA agreg\u00f3 CVE-2022-20775 y CVE-2026-20127 a su <a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\">cat\u00e1logo de vulnerabilidades explotadas conocidas<\/a> Mi\u00e9rcoles.<\/p>\n<p>La brecha de tres a\u00f1os entre los ataques iniciales conocidos y la explotaci\u00f3n detectada de los d\u00edas cero muestra el uso quir\u00fargico de las vulnerabilidades por parte de los atacantes y la naturaleza altamente dirigida de su campa\u00f1a, dijo Ben Harris, fundador y director ejecutivo de watchTowr. <\/p>\n<p>La l\u00ednea de tiempo y la ruta de ataque conocida tambi\u00e9n indican una disciplina operativa que permiti\u00f3 a los atacantes mantener el acceso a largo plazo en la infraestructura de red cr\u00edtica sin activar alarmas, dijo McKee. Esas actividades se alinean \u201cm\u00e1s estrechamente con el espionaje patrocinado por el Estado que con delitos con motivaci\u00f3n financiera\u201d, a\u00f1adi\u00f3.<\/p>\n<p>La directiva de emergencia de CISA requiere que las agencias federales realicen un inventario de todos los sistemas Cisco SD-WAN vulnerables, recopilen registros de esos sistemas, apliquen las actualizaciones de seguridad de Cisco, busquen evidencia de compromiso y sigan <a href=\"https:\/\/sec.cloudapps.cisco.com\/security\/center\/resources\/Cisco-Catalyst-SD-WAN-HardeningGuide\">La gu\u00eda de Cisco<\/a> para el viernes. <\/p>\n<p>La \u00faltima campa\u00f1a dirigida a la tecnolog\u00eda de borde de red de Cisco comparte muchas similitudes con otra serie de ataques sobre los que Cisco advirti\u00f3 en septiembre. Esos ataques, que involucraron al menos dos d\u00edas cero explotados activamente, estuvieron en marcha durante al menos un a\u00f1o antes de ser descubiertos por primera vez en mayo. <\/p>\n<p>Cisco no respondi\u00f3 preguntas sobre posibles conexiones entre las campa\u00f1as. El vendedor y los funcionarios tambi\u00e9n han evitado hasta ahora compartir detalles sobre lo que ocurri\u00f3 detr\u00e1s de escena durante estos ataques sostenidos.<\/p>\n<p>Un portavoz de Cisco inst\u00f3 a los clientes a actualizar el software y seguir <a href=\"https:\/\/sec.cloudapps.cisco.com\/security\/center\/content\/CiscoSecurityAdvisory\/cisco-sa-sdwan-rpa-EHchtZk\">orientaci\u00f3n de su asesor<\/a>. <\/p>\n<p>Desafortunadamente, es demasiado tarde para que algunos clientes de Cisco SD-WAN apliquen parches, dijo Harris. \u00abEl consejo de Cisco de reconstruir completamente y buscar se\u00f1ales previas de intrusi\u00f3n debe tomarse en serio\u00bb.<\/p>\n<footer class=\"single-article__footer\">\n<div class=\"author-card\">\n<div class=\"author-card__avatar\">\n<figure class=\"author-card__image-wrap\">\n\t\t\t\t\t<img decoding=\"async\" class=\"author-card__image\" src=\"https:\/\/cyberscoop.com\/wp-content\/uploads\/sites\/3\/2025\/02\/MattKapko.jpg?w=150&amp;h=150&amp;crop=1\" alt=\"Matt Kapko\"\/><br \/>\n\t\t\t\t<\/figure>\n<\/p><\/div>\n<p><h4 class=\"author-card__name\">Escrito por Matt Kapko<\/h4>\n<p>\t\t\tMatt Kapko es reportero de CyberScoop. Su \u00e1mbito incluye delitos cibern\u00e9ticos, ransomware, defectos de software y (mala) gesti\u00f3n de vulnerabilidades. El californiano de toda la vida comenz\u00f3 su carrera period\u00edstica en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.\t\t<\/p>\n<\/p><\/div>\n<\/footer><\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los atacantes han estado explotando un par de vulnerabilidades de d\u00eda cero en el software de red de Cisco durante al menos tres a\u00f1os, y la campa\u00f1a global est\u00e1 en curso, dijeron las autoridades a trav\u00e9s de una serie de advertencias publicadas el mi\u00e9rcoles. La Agencia de Seguridad de Infraestructura y Ciberseguridad emiti\u00f3 un directiva [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":69,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[114,62,115,111,112,113,64],"class_list":["post-68","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-latest","tag-attacks","tag-cisco","tag-dating","tag-governments","tag-issue","tag-warning","tag-zeroday"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/68","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=68"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/68\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/69"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=68"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=68"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=68"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}