Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una nuova vulnerabilità critica scoperta nei controller Cisco Catalyst SD-WAN permette ad attaccanti remoti non autenticati di ottenere accesso privilegiato all’infrastruttura di rete. Rapid7 ha identificato il bug durante l’analisi di un’altra CVE già sfruttata attivamente. Cisco ha rilasciato aggiornamenti correttivi, ma non esistono mitigazioni temporanee efficaci.
Un nuovo bug di sicurezza, al quale è stato dato l’identificatore CVE-2026-20182, colpisce il servizio “vdaemon”, il quale è presente nei controller Cisco Catalyst SD-WAN, precedentemente conosciuti come vSmart. La scoperta è stata effettuata dai ricercatori di sicurezza di Rapid7, durante le indagini su CVE-2026-20127, la vulnerabilità in questione è stata individuata come già sfruttata in attacchi reali.
Il problema è all’interno del servizio DTLS, che viene esposto sulla porta UDP 12346. Da quanto riportato, non si tratta di un bypass della patch, ma di un difetto nuovo individuato nella stessa area dello stack di rete “vdaemon”.
L’impatto è identico in quanto un attaccante remoto e non autenticato può diventare un peer autenticato del dispositivo bersaglio e quindi ottenere privilegi elevati.
Tra le azioni c’è l’iniezione di una chiave pubblica SSH controllata dai malintenzionati, nel file delle chiavi autorizzate dell’utente vmanage-admin. Dopo l’iniezione, l’accesso al servizio NETCONF sulla porta TCP 830 diventa possibile senza credenziali legittime.
| CVE | Severity | Sintesi vulnerabilità |
|---|---|---|
| CVE-2026-20182 | Critical 10.0 | Bypass di autenticazione remota sul servizio vdaemon via DTLS |
| CVE-2026-20127 | Critica | Vulnerabilità precedente sfruttata in-the-wild nello stesso componente |
Il controller Cisco Catalyst SD-WAN, è il centro del control plane dell’intera architettura relativa alla SD-WAN. A differenza di Cisco SD-WAN Manager, non dispone di una web UI, pertanto la superficie esposta in rete è limitata ma estremamente sensibile.
Le porte possono includere:
| Porta | Protocollo | Servizio |
|---|---|---|
| 22 | TCP | SSH |
| 830 | TCP | NETCONF over SSH |
| 12346 | UDP | vdaemon DTLS control plane |
La porta UDP 12346 è spesso utilizzata per le comunicazioni DTLS tra controller e nodi edge. Proprio qua transitano i messaggi OMP, le route advertisement, le tabelle TLOC e lo stato dei peer e quindi, l’intero tessuto di routing della rete SD-WAN.
Compromettere questo servizio, vuol dire compromettere il network overlay. Per anni molte aziende hanno considerato il control plane SD-WAN quasi “interno” per definizione. , ma il bug rilevato dimostra esattamente il contrario.
Rapid7 ha riportato che il protocollo di autenticazione utilizza una handshake multi-fase su DTLS e questo specifico difetto permette all’attaccante di aggirare i controlli di autenticazione previsti dal processo.
Cisco ha quindi rilasciato degli aggiornamenti ufficiali per correggere il bug monitorato con il codice CVE-2026-20182 e nonn esistono workaround in grado di mitigare il problema. Queste sono le versioni indicate come corrette da parte dal vendor:
| Release Cisco SD-WAN | Prima release corretta |
|---|---|
| 20.9 | 20.9.9.1 |
| 20.10 | 20.12.7.1 |
| 20.11 | 20.12.7.1 |
| 20.12 | 20.12.5.4 / 20.12.6.2 / 20.12.7.1 |
| 20.13 | 20.15.5.2 |
| 20.14 | 20.15.5.2 |
| 20.15 | 20.15.4.4 / 20.15.5.2 |
| 20.16 | 20.18.2.2 |
| 20.18 | 20.18.2.2 |
| 26.1.1 | 26.1.1.1 |
Cisco evidenzia che molte release hanno purtroppo raggiunto la fine del supporto software (EoL, End Of Life) e raccomanda di migrare verso versioni supportate.
Per verificare la versione e capire se il sistema è vulnerabile, gli admin devono controllare la release del controller Cisco Catalyst SD-WAN e poi confrontarla con le versioni corrette pubblicate dal vendor. Se il sistema utilizza una release precedente rispetto a quanto riportato in tabella, occorre procedere al replat, in quanto il dispositivo risulta affetto dalla vulnerabilità CVE-2026-20182.
La ricerca è stata condotta da Rapid7, che ha collaborato attivamente con Cisco in tutto il processo di coordinated responsible disclosure (CVD). Cisco ha confermato di aver ricevuto l’exploit code e i dettagli tecnici il 9 marzo 2026, mentre la divulgazione pubblica è avvenuta il 14 maggio 2026.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/