Una vulnerabilità di Cisco Catalyst SD-WAN Manager è stata sfruttata come zero-day per almeno due mesi prima di essere divulgata pubblicamente. È quanto emerge da una nuova analisi di Mandiant, la divisione di threat intelligence di Google, che ha ricostruito un'intrusione in cui la falla — identificata come CVE-2026-20245 (CVSS 7,8) — è servita a un attaccante per passare da un accesso amministrativo a un controllo totale del sistema con privilegi di root. Il caso è significativo non tanto per il punteggio della vulnerabilità, di per sé medio-alto, quanto per il modo in cui è stata inserita in una catena d'attacco più ampia e condotta con notevole attenzione a non lasciare tracce.
L'anatomia dell'attacco
Secondo la ricostruzione di Mandiant, l'attaccante è entrato in possesso di un account amministrativo e ne ha cambiato le credenziali predefinite. A quel punto ha sfruttato CVE-2026-20245 caricando un file CSV malevolo — denominato evil_tenant.csv — attraverso una funzione che soffre di una validazione insufficiente dell'input fornito dall'utente. Il caricamento del file ha permesso di eseguire comandi arbitrari con privilegi elevati e di scalare fino a root, ottenendo una shell con pieno controllo del sistema. Per consolidare la presenza, l'attaccante ha creato un account utente nascosto, battezzato troot, dotato di privilegi di root.
Particolarmente curato è stato il lavoro di occultamento. Per tutta la durata dell'intrusione gli aggressori hanno adottato tecniche anti-forensi, cancellando e poi ripristinando selettivamente i file di configurazione che avevano modificato durante l'operazione, in modo da ridurre al minimo le tracce della propria attività. Un livello di disciplina operativa che indica un avversario esperto e motivato, più interessato alla persistenza silenziosa che a un'azione rumorosa.
Perché un SD-WAN Manager è un bersaglio prezioso
Catalyst SD-WAN Manager è il piano di gestione centralizzato di una rete SD-WAN: da qui si configurano e si controllano i dispositivi distribuiti su tutta l'infrastruttura. Compromettere questo nodo significa ottenere una posizione di vantaggio strategica, potenzialmente in grado di influenzare l'intera rete gestita. È esattamente il tipo di componente che un attaccante sofisticato punta a controllare per muoversi lateralmente e mantenere il dominio sull'ambiente bersaglio.
Cosa fare
La priorità è aggiornare Cisco Catalyst SD-WAN Manager alle versioni che correggono la falla — tra cui 20.9.9.2, 20.12.7.2, 20.15.4.5, 20.15.5.3, 20.18.3.1, 26.1.1.2 o successive. Oltre alla patch, è opportuno verificare la presenza di account utente anomali (a partire da nomi non riconosciuti come troot), controllare i log relativi al caricamento di file e alle modifiche di configurazione e, in caso di indizi di compromissione, avviare le procedure di risposta agli incidenti trattando l'appliance come violata. Limitare l'esposizione su Internet delle interfacce di gestione rimane una misura difensiva essenziale per ridurre la superficie d'attacco di un componente così critico.
