Cisco har släppt säkerhetsuppdateringar för en Cisco SD-WAN-nolldagssårbarhet som angripare aktivt utnyttjar för att få administratörsåtkomst. Den kritiska sårbarheten, CVE-2026-76504, påverkar Catalyst SD-WAN Manager och gör det möjligt för fjärrangripare att kringgå autentisering utan befintliga inloggningsuppgifter.
Cisco bekräftade att företagets säkerhetsteam fick kännedom om exploateringen i september 2026. Samtidigt har CISA lagt till sårbarheten i sin katalog över Known Exploited Vulnerabilities.
Autentiseringssårbarhet exponerar hanteringssystem
Catalyst SD-WAN Manager, som tidigare kallades SD-WAN vManage, gör det möjligt för administratörer att hantera upp till 6 000 SD-WAN-enheter via en enda kontrollpanel.
Sårbarheten berör autentisering av API-sessioner och påverkar sårbara installationer oavsett deras konfiguration.
Mer specifikt hanterar programvaran URI-kodning i HTTP-förfrågningar felaktigt. Detta gör det möjligt för en särskilt utformad förfrågan att kringgå en autentiseringsregel som skyddar en API-slutpunkt.
Som ett resultat kan en oautentiserad angripare skicka en skadlig förfrågan till systemets API och få administratörsbehörigheter.
Cisco har bekräftat pågående attacker. Företaget har dock inte offentliggjort detaljer om angriparna, deras mål eller exploateringens omfattning.
Korrigerade versioner omfattar flera programvarugrenar
Cisco uppmanar kunder att uppgradera till en version som åtgärdar sårbarheten. Följande tabell visar den första korrigerade versionen för varje programvarugren.
| Cisco Catalyst SD-WAN-version | Första korrigerade version |
|---|---|
| Tidigare än 20.9 | Migrera till en korrigerad version |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
Organisationer som kör versioner tidigare än 20.9 måste därför gå över till en korrigerad version.
Cisco delar ledtrådar för att utreda attacker
Tillsammans med säkerhetsuppdateringarna publicerade Cisco indikatorer för att hjälpa säkerhetsteam att utreda möjliga intrång.
Företaget uppger att angripare har använt %6a, den URI-kodade formen av bokstaven ”j”, i skadliga förfrågningar.
Administratörer bör också granska poster som innehåller j_security_check från okända eller obehöriga IP-adresser i dessa loggar:
/var/log/nms/containers/service-proxy/serviceproxy-access.log/var/log/nms/vmanage-server.log
Dessa poster kan stödja en utredning, även om team bör bedöma dem i sitt sammanhang innan de drar slutsatser.
För ytterligare hjälp kan kunder kontakta Ciscos Technical Assistance Center. Innan ett ärende öppnas rekommenderar Cisco att admin-tech-filer samlas in för att underlätta granskningen.
Federala myndigheter har tidsfrist till den 3 oktober
CISA lade till CVE-2026-76504 i sin katalog över Known Exploited Vulnerabilities den 30 september. Myndigheten instruerade amerikanska federala civila myndigheter inom den verkställande grenen att åtgärda sårbarheten senast den 3 oktober 2026.
Cisco SD-WAN-nolldagssårbarheten följer på fyra andra aktivt utnyttjade SD-WAN-sårbarheter som rapporterats tidigare i år.
I februari åtgärdade Cisco CVE-2026-20127, som angripare hade utnyttjat sedan åtminstone 2023. I maj bekräftade företaget sedan attacker som involverade autentiseringsförbikopplingssårbarheten CVE-2026-20182.
I juni offentliggjorde Cisco exploatering av CVE-2026-20245 och CVE-2026-20262 för att få root-behörigheter. Det senaste avslöjandet lägger till ytterligare en bekräftad attackväg mot företagets SD-WAN-programvara.
0 svar till ”Cisco SD-WAN-nolldagssårbarhet låter angripare få administratörsåtkomst”