Cisco SD-WAN: nuova vulnerabilità CVE-2026-20262 già sfruttata negli attacchi

Cisco ha rilasciato un nuovo avviso di sicurezza relativo a una vulnerabilità critica che interessa la piattaforma Catalyst SD-WAN Manager (ex vManage). La falla, identificata come CVE-2026-20262, risulta già sfruttata attivamente in ambienti reali, secondo quanto comunicato dal Cisco Product Security Incident Response Team (PSIRT).

Si tratta del secondo problema di sicurezza scoperto e sfruttato in meno di due settimane all’interno della stessa piattaforma SD-WAN, segnalando un periodo particolarmente critico per l’ecosistema di gestione delle reti enterprise Cisco.

Cos’è CVE-2026-20262
La vulnerabilità CVE-2026-20262 riguarda un difetto di path traversal e validazione insufficiente dell’input all’interno dell’interfaccia web di Cisco Catalyst SD-WAN Manager.

In concreto, un attaccante autenticato può inviare richieste HTTP appositamente manipolate per:

creare o sovrascrivere file sul sistema operativo sottostante
caricare file potenzialmente malevoli (ad esempio archivi .WAR)
preparare il terreno per una escalation dei privilegi fino a root

Cisco ha precisato che per sfruttare la falla è necessario disporre di credenziali valide con almeno permessi di scrittura, ma una volta ottenuto l’accesso, l’impatto può essere critico.

Impatto e rischio reale

Sebbene non si tratti di una vulnerabilità completamente “remota e anonima”, il rischio rimane elevato per diversi motivi:

il sistema SD-WAN Manager è il cuore del controllo della rete aziendale
un attaccante interno o già autenticato può compromettere l’intera infrastruttura SD-WAN
la scrittura arbitraria di file può portare all’esecuzione di codice e all’accesso root

In altre parole, la compromissione di questo componente può consentire la presa totale del controllo della rete aziendale distribuita.

Attacchi già osservati

Cisco ha confermato di aver rilevato attività di sfruttamento in-the-wild, con tecniche che includono:

upload di file malevoli (come archivi WAR)
esecuzione tramite server applicativi Java integrati
interazione tramite richieste POST per eseguire comandi

In alcuni casi, questi file vengono poi utilizzati per ottenere accesso persistente al sistema.

Dispositivi e versioni colpite

La vulnerabilità interessa tutte le principali modalità di deployment:

on-premises
cloud-managed (Cisco Managed)
Cloud-Pro
ambienti governativi (FedRAMP)

Mitigazioni e raccomandazioni

Cisco raccomanda fortemente di:

aggiornare immediatamente alle versioni corrette del software
verificare i log per eventuali indicatori di compromissione
controllare la presenza di file sospetti o upload anomali
limitare l’esposizione dell’interfaccia di gestione su Internet
rafforzare l’autenticazione e il controllo degli accessi

In particolare, gli amministratori dovrebbero prestare attenzione a eventuali file .WAR non autorizzati o attività sospette sul server applicativo.

Un trend preoccupante su SD-WAN
Questa vulnerabilità si inserisce in un contesto più ampio di attacchi mirati alle infrastrutture Cisco SD-WAN, che negli ultimi mesi hanno visto diverse falle sfruttate attivamente, incluse vulnerabilità di autenticazione e privilege escalation.

La tendenza conferma che le piattaforme di gestione della rete rappresentano un obiettivo prioritario per gruppi di attacco avanzati, poiché consentono il controllo centralizzato dell’intera infrastruttura aziendale.

Conclusione
CVE-2026-20262 non è una semplice falla applicativa: rappresenta un ulteriore segnale dell’interesse crescente degli attaccanti verso i sistemi di orchestrazione SD-WAN.
Le organizzazioni che utilizzano Cisco Catalyst SD-WAN dovrebbero considerare l’aggiornamento come urgente, soprattutto in presenza di interfacce esposte o configurazioni non adeguatamente segmentate.