Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una nuova vulnerabilità critica scoperta nei controller Cisco Catalyst SD-WAN permette ad attaccanti remoti non autenticati di ottenere accesso privilegiato all’infrastruttura di rete. Rapid7 ha identificato il bug durante l’analisi di un’altra CVE già sfruttata attivamente. Cisco ha rilasciato aggiornamenti correttivi, ma non esistono mitigazioni temporanee efficaci.
Un nuovo bug di sicurezza, al quale è stato dato l’identificatore CVE-2026-20182, colpisce il servizio “vdaemon”, il quale è presente nei controller Cisco Catalyst SD-WAN, precedentemente conosciuti come vSmart. La scoperta è stata effettuata dai ricercatori di sicurezza di Rapid7, durante le indagini su CVE-2026-20127, la vulnerabilità in questione è stata individuata come già sfruttata in attacchi reali.
Il problema è all’interno del servizio DTLS, che viene esposto sulla porta UDP 12346. Da quanto riportato, non si tratta di un bypass della patch, ma di un difetto nuovo individuato nella stessa area dello stack di rete “vdaemon”.
L’impatto è identico in quanto un attaccante remoto e non autenticato può diventare un peer autenticato del dispositivo bersaglio e quindi ottenere privilegi elevati.
Tra le azioni c’è l’iniezione di una chiave pubblica SSH controllata dai malintenzionati, nel file delle chiavi autorizzate dell’utente vmanage-admin. Dopo l’iniezione, l’accesso al servizio NETCONF sulla porta TCP 830 diventa possibile senza credenziali legittime.
| CVE | Severity | Sintesi vulnerabilità |
|---|---|---|
| CVE-2026-20182 | Critical 10.0 | Bypass di autenticazione remota sul servizio vdaemon via DTLS |
| CVE-2026-20127 | Critica | Vulnerabilità precedente sfruttata in-the-wild nello stesso componente |
Il controller Cisco Catalyst SD-WAN, è il centro del control plane dell’intera architettura relativa alla SD-WAN. A differenza di Cisco SD-WAN Manager, non dispone di una web UI, pertanto la superficie esposta in rete è limitata ma estremamente sensibile.
Le porte possono includere:
| Porta | Protocollo | Servizio |
|---|---|---|
| 22 | TCP | SSH |
| 830 | TCP | NETCONF over SSH |
| 12346 | UDP | vdaemon DTLS control plane |
La porta UDP 12346 è spesso utilizzata per le comunicazioni DTLS tra controller e nodi edge. Proprio qua transitano i messaggi OMP, le route advertisement, le tabelle TLOC e lo stato dei peer e quindi, l’intero tessuto di routing della rete SD-WAN.
Compromettere questo servizio, vuol dire compromettere il network overlay. Per anni molte aziende hanno considerato il control plane SD-WAN quasi “interno” per definizione. , ma il bug rilevato dimostra esattamente il contrario.
Rapid7 ha riportato che il protocollo di autenticazione utilizza una handshake multi-fase su DTLS e questo specifico difetto permette all’attaccante di aggirare i controlli di autenticazione previsti dal processo.
Cisco ha quindi rilasciato degli aggiornamenti ufficiali per correggere il bug monitorato con il codice CVE-2026-20182 e nonn esistono workaround in grado di mitigare il problema. Queste sono le versioni indicate come corrette da parte dal vendor:
| Release Cisco SD-WAN | Prima release corretta |
|---|---|
| 20.9 | 20.9.9.1 |
| 20.10 | 20.12.7.1 |
| 20.11 | 20.12.7.1 |
| 20.12 | 20.12.5.4 / 20.12.6.2 / 20.12.7.1 |
| 20.13 | 20.15.5.2 |
| 20.14 | 20.15.5.2 |
| 20.15 | 20.15.4.4 / 20.15.5.2 |
| 20.16 | 20.18.2.2 |
| 20.18 | 20.18.2.2 |
| 26.1.1 | 26.1.1.1 |
Cisco evidenzia che molte release hanno purtroppo raggiunto la fine del supporto software (EoL, End Of Life) e raccomanda di migrare verso versioni supportate.
Per verificare la versione e capire se il sistema è vulnerabile, gli admin devono controllare la release del controller Cisco Catalyst SD-WAN e poi confrontarla con le versioni corrette pubblicate dal vendor. Se il sistema utilizza una release precedente rispetto a quanto riportato in tabella, occorre procedere al replat, in quanto il dispositivo risulta affetto dalla vulnerabilità CVE-2026-20182.
La ricerca è stata condotta da Rapid7, che ha collaborato attivamente con Cisco in tutto il processo di coordinated responsible disclosure (CVD). Cisco ha confermato di aver ricevuto l’exploit code e i dettagli tecnici il 9 marzo 2026, mentre la divulgazione pubblica è avvenuta il 14 maggio 2026.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.