Cisco ha rilasciato una patch per una vulnerabilità zero-day nel suo Catalyst SD-WAN Manager (l'ex vManage), confermando di aver osservato uno sfruttamento limitato della falla in attacchi reali prima della disponibilità degli aggiornamenti. Il difetto, identificato come CVE-2026-20262, è particolarmente insidioso perché colpisce il piano di gestione di reti SD-WAN che possono contare migliaia di dispositivi controllati da un'unica console.
Il difetto tecnico
La vulnerabilità è classificata come scrittura arbitraria di file e nasce da una validazione inadeguata dell'input fornito dall'utente durante il caricamento di file. Inviando una richiesta HTTP appositamente costruita verso un endpoint API vulnerabile, un attaccante può creare o sovrascrivere qualsiasi file presente sul sistema sottostante. Si tratta in sostanza di un problema di path traversal (CWE-22): il file scritto può poi essere usato come trampolino per elevare i privilegi fino a root, cioè il controllo completo della macchina.
Il punteggio CVSS assegnato è 6.5, un valore solo medio, ma il numero da solo non rende l'idea del rischio reale. La possibilità di passare da un accesso autenticato al controllo totale del sistema di gestione rende l'impatto molto più grave di quanto la metrica suggerisca.
Le condizioni di sfruttamento
Per sfruttare la falla l'attaccante deve disporre di credenziali valide con privilegi di scrittura. Non si tratta quindi di un attacco completamente non autenticato, ma il prerequisito è tutt'altro che proibitivo: credenziali rubate tramite phishing, riutilizzate da altre violazioni o ottenute con attacchi a forza bruta sono merce comune nel panorama delle minacce attuali. Una volta ottenuto questo punto d'appoggio, il caricamento del file malevolo apre la strada all'escalation verso root.
Perché è critica
Catalyst SD-WAN Manager funge da cervello dell'intera infrastruttura SD-WAN: da un solo cruscotto è possibile gestire migliaia di dispositivi distribuiti. La compromissione del piano di gestione ha quindi ripercussioni sproporzionate, perché consente potenzialmente di agire sull'intera rete a valle. La falla riguarda tutte le tipologie di deployment, indipendentemente dalla configurazione dei dispositivi: installazioni on-premise, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud gestito da Cisco e la variante SD-WAN for Government in ambito FedRAMP.
La risposta di CISA e cosa fare
CISA ha inserito CVE-2026-20262 nel proprio catalogo Known Exploited Vulnerabilities, fissando per le agenzie federali statunitensi un termine di remediation al 29 giugno 2026. L'inserimento nel KEV è la conferma ufficiale che la falla è già stata sfruttata in attacchi reali.
Le organizzazioni che utilizzano Catalyst SD-WAN Manager dovrebbero applicare al più presto gli aggiornamenti pubblicati da Cisco. È inoltre opportuno rivedere gli account con privilegi di scrittura, applicare il principio del minimo privilegio, abilitare l'autenticazione a più fattori sull'accesso alla console di gestione e ispezionare i log alla ricerca di caricamenti di file anomali o di modifiche inattese al filesystem, possibili indicatori di una compromissione già avvenuta. Si tratta peraltro dell'ennesimo zero-day SD-WAN che Cisco si trova a correggere in pochi mesi, segno di quanto i sistemi di gestione delle reti aziendali siano ormai un bersaglio prioritario.
