Introduzione
Negli ultimi anni le reti aziendali sono diventate bersagli sempre più frequenti di attacchi informatici sofisticati. Quando vengono colpite le infrastrutture che gestiscono il traffico di rete su scala globale, le conseguenze possono riguardare organizzazioni di ogni settore e dimensione. È esattamente questo lo scenario che si sta delineando con la vulnerabilità scoperta nei sistemi Cisco Catalyst SD-WAN.
Cosa è successo
A partire dal 25 febbraio 2026, agenzie governative di cybersecurity di diversi Paesi, tra cui CISA (Stati Uniti), NSA (Stati Uniti), NCSC-UK (Regno Unito) e NCSC-NZ (Nuova Zelanda), hanno emesso un avviso congiunto riguardo allo sfruttamento attivo di una vulnerabilità identificata con il codice CVE-2026-20127. Questa vulnerabilità colpisce due prodotti Cisco molto diffusi nelle reti aziendali: il Catalyst SD-WAN Controller e il Catalyst SD-WAN Manager. In parole semplici, questi sistemi si occupano di gestire e coordinare il traffico di rete tra sedi diverse di una stessa organizzazione, come uffici, filiali o data center.
La vulnerabilità consente a un attaccante di aggirare i meccanismi di autenticazione, ovvero di entrare nel sistema senza possedere le credenziali corrette. Gli esperti di Cisco Talos hanno identificato e monitorato il gruppo responsabile delle intrusioni con la sigla UAT-8616. Una volta ottenuto l’accesso, gli attaccanti aggiungono un cosiddetto peer non autorizzato alla rete, una tecnica che consente loro di acquisire i privilegi più elevati sul sistema (accesso root) e di mantenere una presenza stabile e duratura all’interno dell’infrastruttura compromessa, anche nel tempo.
Perché è importante e qual è l’impatto potenziale
L’aspetto più preoccupante di questa vicenda è la sua portata globale: l’avviso congiunto segnala che l’attività malevola riguarda organizzazioni in tutto il mondo che utilizzano i sistemi vulnerabili. Non sono stati resi pubblici i nomi di vittime specifiche. Tuttavia, chi utilizza questi prodotti Cisco senza aver applicato le opportune contromisure potrebbe essere già stato compromesso senza saperlo. Un accesso root non autorizzato permette in linea teorica di leggere, modificare o sottrarre dati, oltre che di alterare il funzionamento della rete.
Cosa possono fare ora aziende e utenti
Le organizzazioni che utilizzano Cisco Catalyst SD-WAN Controller o Manager devono consultare immediatamente l’avviso di sicurezza ufficiale pubblicato da Cisco e applicare le patch o le mitigazioni indicate. È inoltre consigliabile verificare i log di sistema per rilevare eventuali attività anomale e contattare il proprio team di sicurezza informatica o un fornitore specializzato. Chi non dispone di risorse interne può fare riferimento agli avvisi pubblici delle agenzie citate, che includono anche una guida per la ricerca di tracce di compromissione.
Takeaway finali
- Una vulnerabilità nei sistemi di gestione della rete può dare a un attaccante il controllo completo dell’infrastruttura aziendale, senza che sia necessario rubare password.
- L’allarme è stato lanciato da più agenzie governative in contemporanea, a indicare una minaccia considerata seria e diffusa a livello internazionale.
- Aggiornare i sistemi tempestivamente e monitorare le reti sono le azioni più efficaci per ridurre il rischio.
Fonti:
https://www.ncsc.govt.nz/alerts/exploitation-of-cisco-sd-wan-appliances/
https://www.ncsc.gov.uk/news/exploitation-cisco-catalyst-sd-wans
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk
https://blog.talosintelligence.com/uat-8616-sd-wan/
Fonte: CISA Advisories