Zero-day en Cisco Catalyst SD-WAN Manager explotado y en el KEV de CISA: qué revisar hoy si tu empresa une sucursales con SD-WAN de Cisco

El 30 de septiembre Cisco avisó de una falla crítica en Catalyst SD-WAN Manager, la consola que antes se llamaba vManage: un bypass de autenticación que ya se usa en ataques reales, según reportó BleepingComputer. Un bypass de autenticación es justo lo que suena: entrar sin contraseña. Al día siguiente, el 1 de octubre, CISA lo añadió a su catálogo KEV, la lista de fallas con explotación confirmada que las agencias de Estados Unidos deben parchar con plazo, como publicó The Hacker News.

Si tu empresa une planta, oficinas y sucursales con SD-WAN de Cisco, esto va para ti. Y si administras la red mexicana desde Houston o Madrid, más todavía.

Qué es el SD-WAN Manager y por qué es la joya de la corona

SD-WAN es la tecnología que junta varios enlaces de internet (fibra, un enlace dedicado, hasta LTE o Starlink) y los reparte entre sucursales como si fueran una sola red privada. El Manager es la consola desde donde se administra todo: plantillas de configuración, políticas de tráfico, certificados de cada router y usuarios con permiso para tocar la red.

Piensa en la planta de Querétaro, el almacén de Monterrey y las oficinas de la Ciudad de México. Los tres se hablan porque el Manager les dijo cómo. Nadie en la sucursal configura nada a mano. Esa comodidad se vuelve el problema cuando alguien entra sin permiso.

Por qué un bypass ahí entrega la red completa

Con acceso de administrador al Manager, un atacante no necesita pisar ninguna sucursal. Desde la consola puede:

Lo que puede hacer	Lo que significa para ti
Cambiar políticas de tráfico	Desviar los datos de la planta por donde él quiera
Empujar plantillas nuevas a los routers	Abrir puertas en todas las sucursales a la vez
Crear usuarios y certificados	Quedarse dentro aunque parches
Apagar reglas de seguridad	Dejar la red a ciegas

En nuestra experiencia, el susto grande llega después de la primera entrada: el Manager es el punto desde donde se ve y se controla todo. Un intruso ahí tiene el mapa, las llaves y el control remoto.

Cómo saber si tu consola está expuesta a internet

Primero lo básico: ¿se abre la pantalla de inicio del Manager desde fuera de la empresa? Pide al de sistemas que lo intente desde su celular con datos móviles, sin VPN. Si carga el login, está expuesta. Luego revisa en el firewall qué regla lo permite y desde dónde.

Lo correcto es que el Manager solo responda desde la red de administración o por la VPN corporativa. Si hoy está publicado para que el equipo de Houston entre sin VPN, esa comodidad se termina hoy.

Cómo buscar indicios de intrusión

Revisa el registro de auditoría del Manager de las últimas semanas y busca:

• Usuarios administradores nuevos que nadie recuerda haber creado.
• Inicios de sesión desde direcciones IP que no son tuyas ni de tu proveedor.
• Plantillas o políticas modificadas fuera de tus ventanas de cambio.
• Certificados emitidos o routers agregados sin orden de trabajo.

Guarda esos registros fuera del equipo antes de actualizar. Si algo huele raro, cambia todas las contraseñas y claves de administración y pide ayuda antes de tocar más.

Parchar sin tirar los enlaces

La buena noticia: los routers de sucursal siguen pasando tráfico aunque la consola esté apagada un rato. Lo que pierdes durante la actualización es la capacidad de hacer cambios y ver el monitoreo. Por eso se puede parchar en una ventana planeada sin detener la planta.

1. Respalda la configuración y, si el Manager es virtual, toma un snapshot.
2. Confirma que la versión nueva es compatible con los controladores y los routers.
3. Avisa a las sucursales la ventana: los enlaces no se caen, pero nadie pide cambios.
4. Actualiza y verifica que todos los routers regresan en verde.
5. Rota credenciales y confirma que la consola ya no queda publicada.

Hablemos

¿Y en tu empresa?

Si tienes dos o más sitios unidos con SD-WAN de Cisco, hoy hay tres preguntas: ¿la consola está expuesta?, ¿qué versión corre? y ¿alguien entró ya? Si no puedes responderlas antes de la comida, necesitas una mano.

En ProcessBi revisamos el perímetro, coordinamos el parcheo con tu equipo aunque esté en otro país y ponemos técnicos en sitio en cualquier ciudad de México si un router de sucursal no regresa después de actualizar.

Pide tu revisión sin costo — respondemos el mismo día hábil.