Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) добави в сряда критична уязвимост за заобикаляне на автентификацията, засягаща Cisco Catalyst SD-WAN Manager, към своя каталог с известни експлоатирани уязвимости (KEV) след доклади за активна експлоатация.

Уязвимостта, проследявана като CVE-2026-76504 (оценка по CVSS: 9.8), може да позволи на неоторизиран отдалечен атакуващ да получи достъп до засегната система с права на администраторски потребител.

„Cisco Catalyst SD-WAN Manager съдържа уязвимост при шестнадесетичното кодиране (hex encoding), която би могла да позволи на неоторизиран отдалечен атакуващ да получи достъп до засегната система с права на администратор поради неправилно обработване на URI кодирането в HTTP заявка“, заявява CISA.

Успешната експлоатация би позволила на атакуващ да заобиколи автентификацията чрез изпращане на специално конфигурирана HTTP заявка към API на засегнатата система и да получи достъп до API като администраторски потребител.

Това се случва, след като Cisco съобщи, че е научила за активна експлоатация на CVE-2026-76504 през септември 2026 г. Производителят на мрежово оборудване предостави индикатори за компрометиране (IoC), които клиентите могат да използват, за да проверят дали техните среди са засегнати:

  • Одит на „/var/log/nms/containers/service-proxy/serviceproxy-access.log“ за записи, свързани с j_security_check от неизвестни или неоторизирани IP адреси
  • Одит на „/var/log/nms/vmanage-server.log“ за записи, свързани с j_security_check от неизвестни или неоторизирани IP адреси, по-специално извиквани за потребители, чиито имена започват с „viptela-reserved-“

Cisco не предостави подробности относно активността по експлоатация, кой стои зад нея, колко организации са компрометирани до момента или кога е възникнал първият случай на експлоатация на CVE-2026-76504. Федералните граждански агенции на САЩ (FCEB) разполагат със срок до 3 октомври 2026 г., за да инсталират корекциите за сигурност.

„Cisco SD-WAN изглежда като постоянен елемент в списъка на CISA с известни експлоатирани уязвимости, като само през тази година осем CVE за 2026 г. попаднаха в KEV — това трябва да бъде изключително ясен сигнал, че атакуващите са осъзнали стойността на платформата и този модел едва ли ще се забави“, заявява в изявление Джейк Нот, ръководител на разузнаването за заплахи в watchTowr.

„Нищо от това не би трябвало да изненадва някого. Като централизирана система за управление („single-pane-of-glass“), използвана от предприятията за управление, конфигуриране и мониторинг на големи мрежи, тя естествено е привлекателна цел.“

На организациите, използващи Catalyst SD-WAN Manager, се препоръчва възможно най-скоро да актуализират до коригирана версия и да следват указанията на производителя за търсене на POST заявки към URL-кодирани варианти на „/j_security_check“, както и да прегледат системите си за признаци на експлоатация.