Uma vulnerabilidade crítica de bypass de autenticação no Cisco Catalyst SD-WAN, identificada como CVE-2026-20127, foi explorada ativamente em ataques zero-day desde pelo menos 2023, permitindo que atacantes remotos comprometessem controladores e adicionassem peers maliciosos às redes-alvo. A Cisco emitiu um alerta urgente sobre a exploração em andamento, e a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) seguiu com uma diretiva de emergência, classificando a atividade como um risco significativo para redes federais.
O que se sabe sobre a vulnerabilidade e a exploração
A falha, classificada com uma pontuação CVSS de 9.8 (Crítica), reside no gerenciador do Cisco Catalyst SD-WAN. Ela permite que um atacante remoto e não autenticado contorne completamente os mecanismos de autenticação e execute comandos arbitrários no sistema operacional subjacente do dispositivo com privilégios de root. Segundo a Cisco, a exploração foi observada em campanhas que visavam adicionar "rogue peers" (pares maliciosos) às redes SD-WAN das vítimas, uma tática que pode ser usada para interceptar, monitorar ou manipular o tráfego de rede sensível que flui através dessas infraestruturas críticas.
Alcance e resposta das autoridades
A gravidade da situação levou a uma resposta coordenada da comunidade de inteligência. A CISA, em conjunto com parceiros da aliança Five Eyes (Austrália, Canadá, Nova Zelândia, Reino Unido e EUA), emitiu um alerta conjunto alertando sobre a exploração ativa. A diretiva de emergência da CISA ordena que todas as agências federais dos EUA apliquem imediatamente o patch disponibilizado pela Cisco e realizem varreduras em busca de indicadores de comprometimento (IOCs) fornecidos. A exploração de longa data, desde 2023, sugere uma campanha sofisticada e persistente, possivelmente de natureza estatal.
Impacto para organizações brasileiras
O Cisco SD-WAN é uma solução amplamente adotada por grandes empresas e provedores de serviços em todo o mundo, incluindo o Brasil, para gerenciar e otimizar redes de filiais e conectividade de nuvem. A capacidade de um atacante adicionar um dispositivo não autorizado à rede SD-WAN representa uma ameaça profunda à integridade e confidencialidade dos dados corporativos. Organizações brasileiras que utilizam a solução devem tratar a aplicação do patch como a mais alta prioridade de segurança. A ausência de menção específica a alvos brasileiros nas fontes não diminui o risco, dada a ubiquidade do produto e a natureza indiscriminada de muitas campanhas de espionagem cibernética.
Recomendações de mitigação
A Cisco já disponibilizou atualizações de software que corrigem a vulnerabilidade. Além da aplicação imediata do patch, as organizações devem:
- Auditar suas implantações de SD-WAN em busca de peers ou dispositivos não autorizados.
- Revisar logs de autenticação e configuração em busca de atividades anômalas.
- Implementar controles de acesso de rede restritivos para limitar o acesso administrativo aos controladores SD-WAN.
- Monitorar comunicações de rede de e para os dispositivos SD-WAN em busca de tráfego suspeito.
A exploração contínua desta falha crítica destaca a importância da gestão proativa de vulnerabilidades em componentes de rede essenciais e a necessidade de vigilância constante contra ameaças persistentes avançadas.