Falha crítica no Cisco Catalyst SD-WAN Manager é explorada ativamente e ainda não tem correção disponível, deixando empresas em alerta máximo
A Cisco emitiu um novo comunicado de segurança alertando que uma vulnerabilidade grave no Cisco Catalyst SD-WAN Manager está sendo explorada ativamente por invasores, ao mesmo tempo em que ainda não existe atualização de segurança específica para corrigir o problema. A falha foi catalogada como CVE-2026-20245, recebeu pontuação 7,8 no sistema CVSS (em uma escala que vai até 10) e atinge diversos modelos de implantação da solução.
Entre os ambientes afetados estão instalações on-premises, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud gerenciado pela própria Cisco e a variante Cisco SD-WAN for Government, utilizada em contextos regulados, como ambientes compatíveis com FedRAMP. Na prática, quase todo o ecossistema baseado no Catalyst SD-WAN Manager pode estar exposto, dependendo da versão e da forma de implantação.
De acordo com a Cisco, o problema se encontra na interface de linha de comando (CLI) do Cisco Catalyst SD-WAN Manager, anteriormente chamado de SD-WAN vManage. Em cenários específicos, um usuário local autenticado pode explorar a falha para executar comandos arbitrários com privilégios de root, bastando para isso enviar ao sistema um arquivo criado de forma maliciosa e especialmente formatado.
A raiz da vulnerabilidade está em uma validação insuficiente dos dados fornecidos pelo usuário. Isso significa que o software não realiza checagens robustas o suficiente sobre determinados arquivos recebidos, abrindo espaço para um ataque de injeção de comandos. Assim, um invasor com acesso adequado consegue fazer upload de um arquivo malicioso, acionar a lógica vulnerável e escalar seus privilégios até o nível de root – o mais alto nível de controle em sistemas baseados em Linux e Unix, o que viabiliza alterações profundas na máquina comprometida.
Apesar da gravidade, a Cisco ressalta que a exploração da CVE-2026-20245 não é totalmente trivial: o atacante precisa possuir privilégios de netadmin no sistema vulnerável. Para chegar a esse patamar, é necessário já ter credenciais válidas com esse nível de permissão ou ter abusado de falhas anteriores na mesma plataforma, como a CVE-2026-20182 ou a CVE-2026-20127. A empresa afirma que, até o momento, não há evidências de que outros caminhos de exploração, sem esse nível de acesso prévio, estejam sendo utilizados com sucesso.
A CVE-2026-20182, divulgada recentemente e avaliada com pontuação CVSS 10.0 (criticidade máxima), foi apresentada por pesquisadores como uma vulnerabilidade de bypass de autenticação que permite a invasores remotos, sem qualquer credencial, obter privilégios administrativos em instâncias vulneráveis do SD-WAN Manager. Essa falha é considerada bastante semelhante à CVE-2026-20127, que também envolve contorno de mecanismos de autenticação no mesmo componente.
Tanto a CVE-2026-20182 quanto a CVE-2026-20127 já foram exploradas como zero-days em ataques reais, ou seja, antes de existirem correções oficiais amplamente conhecidas. A atividade ligada à CVE-2026-20127 foi atribuída a um cluster de ameaça identificado como UAT-8616, que, segundo investigações, vem abusando dessa vulnerabilidade desde 2023. Esse histórico de exploração em cadeia aumenta significativamente a preocupação em torno da nova CVE-2026-20245, pois ela pode ser combinada com falhas de autenticação já conhecidas para formar um fluxo de ataque mais sofisticado e destrutivo.
No boletim mais recente, a Cisco relata ter observado um número limitado de incidentes em que a exploração bem-sucedida da CVE-2026-20245 resultou no envio de alterações de configuração para dispositivos de borda (edge). Esse ponto é particularmente sensível porque o SD-WAN Manager funciona como o “cérebro” da infraestrutura SD-WAN: é ele que centraliza a gestão, define e distribui políticas, configura roteamentos, segmentação de rede e outros parâmetros críticos para nós distribuídos.
Se um invasor obtiver controle de root sobre o SD-WAN Manager, torna-se possível, em tese, manipular essas políticas de forma furtiva, redirecionar tráfego, enfraquecer mecanismos de segurança, abrir backdoors em equipamentos de borda ou até causar interrupções amplas no ambiente. Em redes corporativas que dependem da SD-WAN para conectar filiais, data centers e serviços em nuvem, o impacto potencial pode ser significativo, incluindo vazamento de dados, espionagem, sabotagem ou paralisação de serviços.
A vulnerabilidade foi descoberta e reportada por pesquisadores da Google Mandiant: Chester Sng, Pete Boonyakarn e Logeswaran Nadarajan. Embora o uso da falha já tenha sido detectado em campo, ainda não há informações públicas sobre a identidade ou o perfil dos grupos que estão tentando explorá-la de forma ativa, nem sobre os setores mais visados.
Um dos aspectos mais preocupantes do caso é que, até agora, não existe patch específico ou medida de mitigação oficial dedicada à CVE-2026-20245. Em outras palavras, as organizações não conseguem simplesmente aplicar uma atualização para eliminar a falha. Como ação imediata de redução de risco, a Cisco orienta que todos os clientes revisem e apliquem as correções distribuídas em 14 de maio de 2026 para a CVE-2026-20182, garantindo que pelo menos as vulnerabilidades de autenticação já conhecidas estejam corrigidas.
Ao impedir que invasores obtenham privilégios administrativos de forma remota e não autenticada (por meio da CVE-2026-20182 ou da CVE-2026-20127), as empresas reduzem drasticamente a probabilidade de que a nova falha de elevação de privilégios (CVE-2026-20245) seja encadeada como segundo estágio de um ataque. Essa estratégia não elimina o risco, mas fecha uma das rotas mais perigosas de exploração em cascata.
A Cisco também reforça que instâncias do Catalyst SD-WAN Manager expostas diretamente à internet correm risco muito maior de comprometimento. Sempre que possível, o componente de gerenciamento deve estar protegido atrás de VPNs, firewalls e controles de acesso rígidos, evitando acesso aberto a partir de endereços externos. Restrição de IPs, segmentação de rede e uso de autenticação multifator para administradores são outras camadas preconizadas para aumentar a resiliência.
Para investigar indícios de comprometimento já ocorrido, administradores são orientados a revisar cuidadosamente o arquivo de log localizado em “/var/log/scripts.log”, em busca de registros suspeitos ligados à execução de scripts e ao upload de arquivos via interface CLI. A Cisco destacou alguns tipos de entradas que merecem atenção, como atividades relacionadas ao envio de listas de tenants associadas a números de série vSmart, upload de números de série vSmart e upload de números de chassi usados em processos de Zero Touch Provisioning (ZTP).
Em um dos exemplos fornecidos, aparece o uso de um arquivo denominado “malicious.csv”, situado no diretório “/home/admin/”, como parâmetro em uma chamada ao script “vconfd_script_upload_tenant_list.sh”. Registros desse tipo, especialmente quando apontam para arquivos com nomes atípicos ou armazenados em locais incomuns, podem sinalizar tentativa de exploração da vulnerabilidade.
A CVE-2026-20245 é a sétima vulnerabilidade associada ao ecossistema Cisco SD-WAN marcada como “ativamente explorada” apenas neste ano. Antes dela, já haviam sido notificados ataques envolvendo as falhas CVE-2026-20182, CVE-2026-20127, CVE-2026-20122, CVE-2026-20128, CVE-2026-20133 e CVE-2022-20775. Essa sequência de incidentes reforça a percepção de que produtos de rede críticos – especialmente os que atuam como ponto central de orquestração – estão no foco prioritário de grupos maliciosos.
A divulgação ocorre em um momento em que a Cisco também finalizou a correção de outra vulnerabilidade de alta severidade, desta vez no Unified Communications Manager. Essa falha, rastreada como CVE-2026-20230 e com pontuação CVSS 8,6, já conta com código de prova de conceito publicamente disponível, embora, segundo a empresa, ainda não exista evidência de exploração em larga escala. Mesmo assim, a recomendação é de atualização urgente para reduzir possíveis cenários de abuso futuro.
O caso do Catalyst SD-WAN Manager é particularmente emblemático pela combinação de três fatores: exploração ativa já observada, ausência de correção específica e possibilidade de encadeamento com outras vulnerabilidades de autenticação. Esse cenário forma uma superfície de ataque atrativa para grupos avançados, que tendem a explorar brechas em tecnologias amplamente adotadas em ambientes corporativos e governamentais.
Para equipes de segurança e de infraestrutura, o momento exige uma postura mais proativa do que reativa. Algumas medidas práticas recomendadas, enquanto o patch não é disponibilizado, incluem:
– Verificar imediatamente a versão do Cisco Catalyst SD-WAN Manager em uso e comparar com as orientações mais recentes da Cisco.
– Garantir que todos os patches já divulgados – sobretudo os relacionados às CVEs 2026-20182 e 2026-20127 – estejam aplicados.
– Revisar as listas de usuários com privilégios de netadmin, removendo contas obsoletas, aplicando o princípio de menor privilégio e reforçando mecanismos de autenticação.
– Restringir ao máximo a exposição do SD-WAN Manager à internet, privilegiando acessos apenas por redes internas ou VPNs corporativas com autenticação forte.
– Aumentar o nível de monitoramento de logs, tanto em “/var/log/scripts.log” quanto em outros registros de auditoria, buscando padrões de uso anômalos, especialmente uploads de arquivos incomuns e execução de scripts fora da rotina.
– Implementar monitoramento comportamental em dispositivos de borda, validando se não houve mudanças abruptas ou não planejadas em políticas de roteamento, segmentação ou segurança.
Empresas brasileiras que utilizam SD-WAN em grande escala, seja em bancos, varejo, indústria ou setor público, devem considerar essa sequência de falhas como um sinal claro de que o plano de segurança para tecnologias de rede precisa ser constantemente revisitado. A tendência de migração de infraestrutura para modelos distribuídos e híbridos aumenta a dependência de plataformas de orquestração, tornando esses componentes alvos estratégicos.
Outro ponto fundamental é a integração entre times de rede e de segurança. Em muitos ambientes, o SD-WAN ainda é tratado majoritariamente como tema de “rede”, com foco em desempenho e conectividade, enquanto decisões de segurança são tomadas em paralelo. O caso da CVE-2026-20245 mostra exatamente o oposto: fragilidades em um componente de gerenciamento podem ter consequências diretas em toda a postura de segurança corporativa.
Mesmo sem correção oficial disponível, organizações não estão de mãos atadas. O reforço de controles de acesso, o endurecimento da superfície exposta, a correção de falhas em cadeia e a vigilância em logs e configurações podem reduzir significativamente o espaço de manobra para invasores. Ainda assim, enquanto a vulnerabilidade permanecer sem patch, o risco não será totalmente eliminado, exigindo atenção contínua e resposta rápida a qualquer sinal de atividade suspeita.
No curto prazo, a expectativa é que a Cisco libere uma atualização dedicada para a CVE-2026-20245. Até lá, a combinação de endurecimento de configuração, aplicação de correções já disponíveis e monitoramento reforçado é a principal linha de defesa para quem depende do Cisco Catalyst SD-WAN Manager em ambientes críticos.