Zero day en Cisco SD WAN expone escalada de privilegios y la cuenta oculta troot amenazando la cadena de suministro

Un informe reciente de Mandiant, la unidad de respuesta e inteligencia sobre amenazas propiedad de Google, revela que un actor desconocido explotó como zero-day una falla de alta severidad en Cisco Catalyst SD-WAN al menos dos meses antes de su divulgación pública. La vulnerabilidad, registrada como CVE-2026-20245 (CVSS 7.8), permite a un atacante local autenticado ejecutar comandos con privilegios elevados mediante la carga de un archivo especialmente diseñado que aprovecha una validación insuficiente de la entrada del usuario.

Los hallazgos describen una campaña dirigida contra un proveedor de servicios de comunicaciones en la que se detectaron dos olas separadas de actividad no autorizada: una entre finales de 2025 y enero de 2026, y otra en marzo de 2026. Durante la primera etapa los atacantes probablemente abusaron de vulnerabilidades de autenticación aún no divulgadas (CVE-2026-20127 o CVE-2026-20182) para crear conexiones de peering rogue; en la segunda, tras actualizar el software de un dispositivo, no usaron esas mismas fallas sino que pudieron recurrir a certificados robados y a la exploitación de CVE-2026-20245 mediante la subida de un CSV malicioso (evil_tenant.csv) para escalar a root y crear una cuenta oculta llamada troot.

La operación presenta un patrón preocupante de buenas prácticas ofensivas: tras cambiar credenciales administrativas para establecer control, los atacantes revertían las contraseñas y eliminaban rastros —archivos creados, cambios en la configuración— para dificultar la detección y el análisis forense. Este tipo de anti-forense combinado con la ubicación del compromiso en dispositivos de borde (SD-WAN) complica la visibilidad de los defensores, porque estos equipos suelen carecer de soluciones EDR y telemetría rica que permitan trazar el movimiento lateral o la intercepción de tráfico este-oeste.

Más allá del impacto puntual sobre la red comprometida, la explotación de controladores SD-WAN tiene implicaciones sistémicas: un atacante con root en el controlador puede manipular rutas, interceptar o redirigir tráfico entre sucursales, ocultar persistencia y obtener material para ataques posteriores contra clientes o proveedores conectados. Para operadores de redes y equipos de seguridad, esto eleva el riesgo a niveles de supply chain y continuidad del servicio.

Las acciones inmediatas y recomendadas para administradores y equipos de respuesta incluyen: verificar y aplicar de inmediato los parches y mitigaciones publicadas por el proveedor; rotar y reforzar credenciales administrativas; auditar los archivos /etc/passwd y /etc/shadow en busca de cuentas ocultas como troot; revisar cambios recientes en las configuraciones y backups para detectar restauraciones sospechosas; y conservar copias forenses de configuraciones y discos antes de realizar cualquier restitución que borre evidencias. También es crítico habilitar y centralizar el registro remoto (syslog/SIEM) para retener eventos que los atacantes podrían intentar eliminar localmente.

En un plano operativo más amplio conviene segregar estrictamente los planos de gestión y datos de SD-WAN, limitar el acceso administrativo mediante principios de least privilege y controles de acceso por rol, y exigir autenticación fuerte —idealmente MFA— para accesos netadmin. La gestión de certificados y claves debe incluir rotaciones, inventariado y detección de uso anómalo; si hay indicios de robo de certificados, proceder a revocación y reemplazo. Integrar monitoreo de integridad de archivos y verificaciones criptográficas puede ayudar a detectar cambios en binarios y configuraciones.

Técnicamente, los equipos deben buscar huellas concretas: rastros de subidas de archivos CSV en interfaces de gestión, marcas de tiempo alteradas en archivos de configuración, eventos de peering no autorizados y evidencias de scripts que borren ficheros. Si se detecta compromiso, desconectar el dispositivo afectado de la red de producción y trabajar con un equipo IR especializado para preservar evidencia, reconstruir desde imágenes limpias y comunicar a proveedores y clientes según requisitos regulatorios y de notificación.

Este incidente también subraya la necesidad de mayor transparencia y coordinación entre proveedores y clientes. Los fabricantes de dispositivos de red deben mejorar la telemetría disponible, facilitar mecanismos seguros de gestión remota y acelerar los parches, mientras que las organizaciones deben incorporar dispositivos de borde en sus planes de detección y respuesta. Para más contexto técnico y actualizaciones consulte el análisis de Mandiant en su blog y la ficha del CVE en el repositorio nacional de vulnerabilidades: Mandiant Blog y NVD — CVE-2026-20245.

En resumen, la explotación temprana de CVE-2026-20245 es un recordatorio de que los dispositivos de red son objetivos privilegiados para actores avanzados. Implementar parches, fortalecer el control y la monitorización de la gestión de SD-WAN, y contar con procedimientos de respuesta forense robustos no son opciones: son requisitos para reducir la ventana de exposición y limitar el alcance de incidentes futuros.