Cisco публикува актуализации за сигурност за отстраняване на критична zero-day уязвимост в Catalyst SD-WAN Manager (проследявана като CVE-2026-76504), която атакуващите активно използват за ескалация на привилегии до администраторски.
Известен в миналото като SD-WAN vManage, Catalyst SD-WAN Manager е софтуер за управление на мрежи, който позволява на администраторите да наблюдават и управляват до 6000 SD-WAN устройства от един-единствен контролен панел.
„През септември 2026 г. екипът на Cisco PSIRT научи за активно използване на тази уязвимост“, предупреди компанията в сряда. „Cisco силно препоръчва на клиентите да актуализират до коригирана версия на софтуера, за да отстранят тази уязвимост.“
Уязвимостта CVE-2026-76504 засяга всички внедрявания независимо от системната конфигурация, открита е в управлението на сесийната автентикация на API и позволява на неавтентифицирани атакуващи да получат отдалечен достъп до засегнатите системи с администраторски права.
„Тази уязвимост се дължи на неправилно обработване на URI кодирането в HTTP заявка, което позволява на заявката да заобиколи правило за автентикация, предназначено да ограничи достъпа до конкретна крайна точка на API“, добави Cisco.
„Атакуващ би могъл да се възползва от уязвимостта, като изпрати специално форматирана HTTP заявка към API на засегнатата система.“
Въпреки че компанията не сподели допълнителни подробности относно атаките, използващи CVE-2026-76504, тя предостави индикатори за компрометиране (IOC), предупреждавайки администраторите, че злонамерените субекти използват %6a като URI-кодиран символ „j“ в зловредните заявки.
Тя също така посъветва екипите по сигурност, които разследват потенциално компрометирани SD-WAN системи, да проверят файла serviceproxy-access.log, намиращ се в /var/log/nms/containers/service-proxy, и файла vmanage-server.log в /var/log/nms/ за записи, свързани с j_security_check от неизвестни или неоторизирани IP адреси.
„За съдействие при определянето дали даден Cisco Catalyst SD-WAN Manager е бил компрометиран, клиентите могат да отворят случай в Cisco TAC“, добави тя, като посъветва администраторите първо да съберат admin-tech файлове в подкрепа на прегледа.
| Версия на Cisco Catalyst SD-WAN | Първа коригирана версия |
|---|---|
| По-ранна от 20.9 | Мигрирайте към коригирана версия. |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
Пета активно използвана zero-day уязвимост в SD-WAN през 2026 г.
CVE-2026-76504 е петата zero-day уязвимост в SD-WAN, активно използвана при реални атаки от началото на годината.
През февруари Cisco отстрани уязвимост за разкриване на информация в SD-WAN Manager (CVE-2026-20127), използвана от поне 2023 г., а през май маркира дефект от максимална степен на сериозност за заобикаляне на автентикацията в Catalyst SD-WAN Controller (CVE-2026-20182) като активно използван в zero-day атаки за получаване на администраторски права върху некоригирани устройства.
По-наскоро, в началото на юни, Cisco предупреди за още две zero-day уязвимости в SD-WAN (CVE-2026-20245 и CVE-2026-20262), които атакуващите са използвали за получаване на root привилегии върху засегнати системи.
От ноември 2021 г. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) е идентифицирала 90 уязвимости на Cisco като активно използвани при атаки, включително четири в Cisco Catalyst SD-WAN Manager и седем, използвани от оператори на криптовируси (ransomware).