Cisco SD-WAN-zero-day-sårbarhed giver angribere administratoradgang

Cisco har udgivet sikkerhedsopdateringer til en Cisco SD-WAN-zero-day-sårbarhed, som angribere aktivt udnytter til at få administratoradgang. Den kritiske sårbarhed, CVE-2026-76504, påvirker Catalyst SD-WAN Manager og gør det muligt for fjernangribere at omgå godkendelse uden eksisterende loginoplysninger.

Cisco bekræftede, at virksomhedens sikkerhedsteam blev opmærksom på udnyttelsen i september 2026. Samtidig har CISA føjet sårbarheden til sit Known Exploited Vulnerabilities-katalog.

Godkendelsesfejl eksponerer administrationssystemer

Catalyst SD-WAN Manager, tidligere kaldet SD-WAN vManage, gør det muligt for administratorer at administrere op til 6.000 SD-WAN-enheder gennem ét dashboard.

Sårbarheden involverer godkendelse af API-sessioner og påvirker sårbare installationer uanset deres konfiguration.

Mere specifikt håndterer softwaren URI-kodning i HTTP-anmodninger forkert. Det gør det muligt for en særligt udformet anmodning at omgå en godkendelsesregel, der beskytter et API-endpoint.

Som følge heraf kan en ikke-godkendt angriber sende en ondsindet anmodning til systemets API og opnå administratorrettigheder.

Cisco har bekræftet igangværende angreb. Virksomheden har dog ikke offentliggjort detaljer om angriberne, deres mål eller omfanget af udnyttelsen.

Rettede versioner dækker flere softwaregrene

Cisco opfordrer kunder til at opgradere til en version, der retter sårbarheden. Følgende tabel viser den første rettede version for hver softwaregren.

Cisco Catalyst SD-WAN-version	Første rettede version
Tidligere end 20.9	Migrer til en rettet version
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1

Organisationer, der kører versioner tidligere end 20.9, skal derfor skifte til en rettet version.

Cisco deler spor til undersøgelse af angreb

Sammen med sikkerhedsopdateringerne offentliggjorde Cisco indikatorer for at hjælpe sikkerhedsteams med at undersøge mulige kompromitteringer.

Virksomheden siger, at angribere har brugt %6a, den URI-kodede form af bogstavet “j”, i ondsindede anmodninger.

Administratorer bør også gennemgå poster, der involverer j_security_check fra ukendte eller uautoriserede IP-adresser i disse logfiler:

• /var/log/nms/containers/service-proxy/serviceproxy-access.log
• /var/log/nms/vmanage-server.log

Disse poster kan understøtte en undersøgelse, selvom teams bør vurdere dem i deres kontekst, før de drager konklusioner.

For yderligere hjælp kan kunder kontakte Ciscos Technical Assistance Center. Inden en sag åbnes, anbefaler Cisco at indsamle admin-tech-filer for at understøtte gennemgangen.

Føderale myndigheder har frist den 3. oktober

CISA føjede CVE-2026-76504 til sit Known Exploited Vulnerabilities-katalog den 30. september. Agenturet pålagde amerikanske føderale civile myndigheder i den udøvende gren at håndtere sårbarheden senest den 3. oktober 2026.

Cisco SD-WAN-zero-day-sårbarheden følger efter fire andre aktivt udnyttede SD-WAN-sårbarheder, der blev rapporteret tidligere i år.

I februar rettede Cisco CVE-2026-20127, som angribere havde udnyttet siden mindst 2023. Derefter bekræftede virksomheden i maj angreb, der involverede godkendelsesomgåelsessårbarheden CVE-2026-20182.

I juni offentliggjorde Cisco udnyttelse af CVE-2026-20245 og CVE-2026-20262 til at opnå root-rettigheder. Denne seneste offentliggørelse tilføjer endnu en bekræftet angrebsvej mod virksomhedens SD-WAN-software.