Il 25 febbraio Cisco ha pubblicato le correzioni per la CVE-2026-20127, una vulnerabilità con il punteggio massimo, 10, in Catalyst SD-WAN Controller, l’ex vSmart, e Catalyst SD-WAN Manager, l’ex vManage. Sono i componenti che governano le reti geografiche software di molte grandi organizzazioni. La segnalazione è arrivata dall’agenzia australiana per la cybersicurezza.
Con una richiesta costruita ad arte, un attaccante senza credenziali aggira l’autenticazione e ottiene privilegi amministrativi, sia nelle installazioni in sede sia in quelle cloud. Fin qui sarebbe una brutta falla come tante. Il dettaglio che cambia tutto è la data: secondo Cisco, un gruppo «altamente sofisticato» la sfrutta almeno dal 2023.
Tre anni dentro la rete
Una volta dentro, gli attaccanti aggiungono nodi abusivi alla rete SD-WAN della vittima, che diventano parte dell’infrastruttura di cui la rete si fida. Per ottenere i privilegi di root usano un trucco elegante: eseguono un downgrade del software a una versione vecchia, sfruttano una falla del 2022, la CVE-2022-20775, e poi riportano il sistema alla versione originale per nascondere le tracce. Un amministratore che controlla la versione installata la trova esattamente come l’aveva lasciata.
La CISA ha emesso una direttiva d’emergenza: gli enti federali devono fare l’inventario dei sistemi Cisco SD-WAN, raccogliere prove forensi, conservare i log su sistemi esterni, aggiornare e cercare segni di compromissione in tempi strettissimi. Agenzie di diversi Paesi hanno pubblicato indicazioni congiunte per la ricerca delle minacce. Chi sia il gruppo, e quante reti abbia attraversato in tre anni, non è stato reso noto.
Un controller SD-WAN decide come viaggia il traffico tra tutte le sedi di un’organizzazione. Chi lo controlla può instradare, osservare o deviare le comunicazioni. Che un’intrusione del genere sia rimasta nascosta così a lungo dice molto su quanto poco questi sistemi vengano sorvegliati.
Prima di aggiornare, raccogli log e prove. L’aggiornamento chiude la falla, ma non caccia chi è già entrato, e può cancellare tracce utili. Poi installa le versioni corrette indicate da Cisco per Controller e Manager.
Apri l’elenco dei nodi della rete SD-WAN e verifica che ciascuno corrisponda a un apparato che conosci, in una sede che esiste. Cerca nei log downgrade e riavvii inattesi del software. Da qui in avanti, limita l’accesso alle interfacce di gestione e invia i log a un sistema esterno, dove nessuno può riscriverli.
