Cisco ha lanciato l'allarme su una vulnerabilità zero-day ad alta gravità in Catalyst SD-WAN Manager, identificata come CVE-2026-20245 e già sfruttata in attacchi reali. La falla consente a un attaccante con privilegi limitati di eseguire comandi arbitrari come root, ottenendo il controllo completo del sistema. Al momento non esiste ancora una patch.

Come funziona la vulnerabilità

Il problema nasce da una validazione insufficiente dell'input fornito dall'utente. Caricando sul sistema un file appositamente costruito, un attaccante locale può innescare un attacco di command injection ed elevare i propri privilegi fino a quelli dell'utente root.

Per sfruttare la falla l'aggressore deve però disporre dei privilegi 'netadmin' sul sistema bersaglio. Questi possono essere ottenuti tramite credenziali compromesse oppure sfruttando altre vulnerabilità di SD-WAN, come CVE-2026-20182 o CVE-2026-20127. Lo zero-day colpisce tutti i tipi di deployment: on-premise, Cloud-Pro, Cloud gestito da Cisco e la versione SD-WAN for Government (FedRAMP).

Già sfruttato in attacchi reali

Il team di risposta agli incidenti di sicurezza di Cisco (PSIRT) è venuto a conoscenza dello sfruttamento a giugno, dopo una segnalazione di Mandiant, la divisione di cybersicurezza di Google Cloud. L'azienda ha confermato un numero limitato di casi in cui la falla è stata sfruttata, portando alla modifica della configurazione spinta verso i dispositivi edge.

Si tratta del settimo zero-day SD-WAN che Cisco è costretta a segnalare nel 2026, a conferma di quanto questa infrastruttura sia diventata un bersaglio privilegiato per gli attaccanti.

Come proteggersi

  • Aggiorna alla versione corretta per CVE-2026-20182, rilasciata il 14 maggio: Cisco la raccomanda come misura di mitigazione in attesa di una patch specifica per CVE-2026-20245.
  • Limita e monitora gli account con privilegi 'netadmin', prerequisito necessario allo sfruttamento.
  • Ruota le credenziali potenzialmente compromesse e attiva l'autenticazione a più fattori sugli accessi amministrativi.
  • Verifica le configurazioni dei dispositivi edge alla ricerca di modifiche non autorizzate.
  • Segui gli avvisi del PSIRT di Cisco per applicare la patch non appena sarà disponibile.

L'episodio ricorda quanto le infrastrutture di rete centralizzate, come i controller SD-WAN, rappresentino un punto di compromissione critico: chi le controlla può ridisegnare il traffico di un'intera organizzazione.