Cisco har lansert sikkerhetsoppdateringer for en Cisco SD-WAN-nulldagssårbarhet som angripere aktivt utnytter for å få administratortilgang. Den kritiske sårbarheten, CVE-2026-76504, påvirker Catalyst SD-WAN Manager og gjør det mulig for eksterne angripere å omgå autentisering uten eksisterende påloggingsinformasjon.
Cisco bekreftet at selskapets sikkerhetsteam fikk kjennskap til utnyttelsen i september 2026. Samtidig har CISA lagt sårbarheten til i sin Known Exploited Vulnerabilities-katalog.
Autentiseringssårbarhet eksponerer administrasjonssystemer
Catalyst SD-WAN Manager, tidligere kalt SD-WAN vManage, lar administratorer administrere opptil 6 000 SD-WAN-enheter gjennom ett kontrollpanel.
Sårbarheten involverer autentisering av API-økter og påvirker sårbare installasjoner uavhengig av konfigurasjonen deres.
Mer spesifikt håndterer programvaren URI-koding i HTTP-forespørsler feil. Dette gjør det mulig for en spesiallaget forespørsel å omgå en autentiseringsregel som beskytter et API-endepunkt.
Som et resultat kan en uautentisert angriper sende en ondsinnet forespørsel til systemets API og få administratorrettigheter.
Cisco har bekreftet pågående angrep. Selskapet har imidlertid ikke offentliggjort detaljer om angriperne, målene deres eller omfanget av utnyttelsen.
Rettede versjoner dekker flere programvaregrener
Cisco oppfordrer kunder til å oppgradere til en versjon som retter sårbarheten. Følgende tabell viser den første rettede versjonen for hver programvaregren.
| Cisco Catalyst SD-WAN-versjon | Første rettede versjon |
|---|---|
| Tidligere enn 20.9 | Migrer til en rettet versjon |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
Organisasjoner som kjører versjoner tidligere enn 20.9, må derfor gå over til en rettet versjon.
Cisco deler spor for å undersøke angrep
Sammen med sikkerhetsoppdateringene publiserte Cisco indikatorer for å hjelpe sikkerhetsteam med å undersøke mulige kompromitteringer.
Selskapet sier at angripere har brukt %6a, den URI-kodede formen av bokstaven «j», i ondsinnede forespørsler.
Administratorer bør også gjennomgå oppføringer som involverer j_security_check fra ukjente eller uautoriserte IP-adresser i disse loggene:
/var/log/nms/containers/service-proxy/serviceproxy-access.log/var/log/nms/vmanage-server.log
Disse oppføringene kan støtte en undersøkelse, selv om team bør vurdere dem i kontekst før de trekker konklusjoner.
For ytterligere hjelp kan kunder kontakte Ciscos Technical Assistance Center. Før en sak åpnes, anbefaler Cisco å samle inn admin-tech-filer for å støtte gjennomgangen.
Føderale myndigheter har frist til 3. oktober
CISA la CVE-2026-76504 til i sin Known Exploited Vulnerabilities-katalog 30. september. Myndigheten påla amerikanske føderale sivile etater i den utøvende grenen å håndtere sårbarheten innen 3. oktober 2026.
Cisco SD-WAN-nulldagssårbarheten følger fire andre aktivt utnyttede SD-WAN-sårbarheter som ble rapportert tidligere i år.
I februar rettet Cisco CVE-2026-20127, som angripere hadde utnyttet siden minst 2023. Deretter, i mai, bekreftet selskapet angrep som involverte autentiseringsomgåelsessårbarheten CVE-2026-20182.
I juni offentliggjorde Cisco utnyttelse av CVE-2026-20245 og CVE-2026-20262 for å oppnå root-rettigheter. Denne siste offentliggjøringen legger til enda en bekreftet angrepsvei mot selskapets SD-WAN-programvare.
0 responses to “Cisco SD-WAN-nulldagssårbarhet lar angripere få administratortilgang”