{"id":879,"date":"2026-05-15T06:14:17","date_gmt":"2026-05-15T06:14:17","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/15\/cisa-agrega-cisco-sd-wan-cve-2026-20182-a-kev-despues-de-las-vulnerabilidades-de-acceso-de-administrador-cyberdefensa-mx\/"},"modified":"2026-05-15T06:14:17","modified_gmt":"2026-05-15T06:14:17","slug":"cisa-agrega-cisco-sd-wan-cve-2026-20182-a-kev-despues-de-las-vulnerabilidades-de-acceso-de-administrador-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/15\/cisa-agrega-cisco-sd-wan-cve-2026-20182-a-kev-despues-de-las-vulnerabilidades-de-acceso-de-administrador-cyberdefensa-mx\/","title":{"rendered":"CISA agrega Cisco SD-WAN CVE-2026-20182 a KEV despu\u00e9s de las vulnerabilidades de acceso de administrador \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/05\/14\/cisa-adds-one-known-exploited-vulnerability-catalog\">agregado<\/a> una vulnerabilidad recientemente revelada que afecta al controlador Cisco Catalyst SD-WAN en su cat\u00e1logo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) solucionen el problema antes del 17 de mayo de 2026.<\/p>\n<p>La vulnerabilidad es una omisi\u00f3n de autenticaci\u00f3n cr\u00edtica rastreada como <strong>CVE-2026-20182<\/strong>. Tiene una calificaci\u00f3n de 10,0 en el sistema de puntuaci\u00f3n CVSS, lo que indica gravedad m\u00e1xima.<\/p>\n<p>\u00abEl controlador y administrador Cisco Catalyst SD-WAN contienen una vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n que permite a un atacante remoto no autenticado omitir la autenticaci\u00f3n y obtener privilegios administrativos en un sistema afectado\u00bb, CISA <a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\">dicho<\/a>.<\/p>\n<p>En un aviso separado, Cisco <a href=\"https:\/\/blog.talosintelligence.com\/sd-wan-ongoing-exploitation\/\">atribuido<\/a> la explotaci\u00f3n activa de CVE-2026-20182 con alta confianza en UAT-8616, el mismo grupo detr\u00e1s de la militarizaci\u00f3n de CVE-2026-20127 para obtener acceso no autorizado a sistemas SD-WAN.<\/p>\n<p>\u00abUAT-8616 realiz\u00f3 acciones posteriores al compromiso similares despu\u00e9s de explotar con \u00e9xito CVE-2026-20182, como se observ\u00f3 en la explotaci\u00f3n de CVE-2026-20127 por parte del mismo actor de amenazas\u00bb, dijo Cisco Talos. \u00abUAT-8616 intent\u00f3 agregar claves SSH, modificar configuraciones de NETCONF y escalar a privilegios de root\u00bb.<\/p>\n<p>Se eval\u00faa que la infraestructura utilizada por UAT-8616 para llevar a cabo actividades de explotaci\u00f3n y posteriores al compromiso se superpone con las redes Operational Relay Box (ORB), y la empresa de ciberseguridad tambi\u00e9n observa m\u00faltiples grupos de amenazas que explotan CVE-2026-20133, CVE-2026-20128 y CVE-2026-20122 a partir de marzo de 2026.<\/p>\n<p>Las tres vulnerabilidades, cuando se encadenan, pueden permitir que un atacante remoto no autenticado obtenga acceso no autorizado al dispositivo. Se agregaron al cat\u00e1logo KEV de CISA el mes pasado.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Se ha descubierto que la actividad aprovecha el c\u00f3digo de explotaci\u00f3n de prueba de concepto disponible p\u00fablicamente para implementar shells web en sistemas pirateados, lo que permite a los operadores ejecutar comandos bash arbitrarios. Uno de esos shells web basados \u200b\u200ben JavaServer Pages (JSP) recibi\u00f3 el nombre en c\u00f3digo XenShell debido al uso de una PoC publicada por ZeroZenX Labs.<\/p>\n<p>Al menos 10 grupos diferentes han sido vinculados a la explotaci\u00f3n de las tres fallas:<\/p>\n<ul>\n<li><strong>Grupo 1<\/strong> (Activo desde al menos el 6 de marzo de 2026), que implementa el shell web de Godzilla<\/li>\n<li><strong>Grupo 2<\/strong> (Activo desde al menos el 10 de marzo de 2026), que implementa el shell web Behinder<\/li>\n<li><strong>Grupo 3<\/strong> (Activo desde al menos el 4 de marzo de 2026), que implementa el shell web XenShell y una variante de Behinder<\/li>\n<li><strong>Grupo 4<\/strong> (Activo desde al menos el 3 de marzo de 2026), que implementa una variante del webshell de Godzilla<\/li>\n<li><strong>Grupo 5<\/strong> (Activo desde al menos el 13 de marzo de 2026), cuyo agente de malware compil\u00f3 a partir del marco de trabajo de equipo rojo AdaptixC2.<\/li>\n<li><strong>Grupo 6<\/strong> (Activo desde al menos el 5 de marzo de 2026), que implementa el marco de comando y control (C2) de Sliver<\/li>\n<li><strong>Grupo 7<\/strong> (Activo desde al menos el 25 de marzo de 2026), que implementa un minero XMRig<\/li>\n<li><strong>Grupo 8<\/strong> (Activo desde al menos el 10 de marzo de 2026), que despliega el <a href=\"https:\/\/github.com\/lcvvvv\/kscan\/blob\/cf76af2d6f7392caec0b96b930e6fa52e9f27af6\/README_ENG.md\">KScan<\/a> herramienta de mapeo de activos y puerta trasera basada en Nim que probablemente se base en <a href=\"https:\/\/github.com\/chvancooten\/NimPlant\/\">nimplanta<\/a> y viene con capacidades para realizar operaciones de archivos, ejecutar archivos usando bash y recopilar informaci\u00f3n del sistema<\/li>\n<li><strong>Grupo 9<\/strong> (Activo desde al menos el 17 de marzo de 2026), que implementa un minero XMRig y una herramienta de tunelizaci\u00f3n y proxy basada en pares llamada <a href=\"https:\/\/github.com\/hackerschoice\/gsocket\">gsocket<\/a><\/li>\n<li><strong>Grupo 10<\/strong> (Activo desde al menos el 13 de marzo de 2026), que implementa un ladr\u00f3n de credenciales que intenta obtener el volcado de hash de un usuario administrador, fragmentos de claves de tokens web JSON (JWT) que se utilizan para la autenticaci\u00f3n de API REST y credenciales de AWS para vManage.<\/li>\n<\/ul>\n<p>Cisco recomienda que los clientes sigan las pautas y recomendaciones descritas en los avisos para las vulnerabilidades antes mencionadas para proteger sus entornos.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves agregado una vulnerabilidad recientemente revelada que afecta al controlador Cisco Catalyst SD-WAN en su cat\u00e1logo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) solucionen el problema antes del 17 de mayo de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[68,69,405,100,62,2544,24,261,110,95,63,342],"class_list":["post-879","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acceso","tag-administrador","tag-agrega","tag-cisa","tag-cisco","tag-cve202620182","tag-cyberdefensa-mx","tag-despues","tag-kev","tag-las","tag-sdwan","tag-vulnerabilidades"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=879"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/879\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}