Cisco SD-WAN-Zero-Day-Schwachstelle ermöglicht Angreifern Administratorzugriff

Cisco hat Patches für eine Cisco SD-WAN-Zero-Day-Schwachstelle veröffentlicht, die Angreifer aktiv ausnutzen, um Administratorzugriff zu erhalten. Die kritische Schwachstelle CVE-2026-76504 betrifft Catalyst SD-WAN Manager und ermöglicht es entfernten Angreifern, die Authentifizierung ohne vorhandene Anmeldedaten zu umgehen.

Cisco bestätigte, dass sein Sicherheitsteam im September 2026 von der Ausnutzung erfahren hat. Unterdessen hat CISA die Schwachstelle in seinen Known Exploited Vulnerabilities-Katalog aufgenommen.

Authentifizierungsschwachstelle gefährdet Verwaltungssysteme

Catalyst SD-WAN Manager, früher als SD-WAN vManage bezeichnet, ermöglicht Administratoren die Verwaltung von bis zu 6.000 SD-WAN-Geräten über ein einziges Dashboard.

Die Schwachstelle betrifft die Authentifizierung von API-Sitzungen und wirkt sich unabhängig von ihrer Konfiguration auf anfällige Installationen aus.

Konkret verarbeitet die Software die URI-Codierung in HTTP-Anfragen fehlerhaft. Dadurch kann eine speziell präparierte Anfrage eine Authentifizierungsregel umgehen, die einen API-Endpunkt schützt.

Infolgedessen könnte ein nicht authentifizierter Angreifer eine schädliche Anfrage an die API des Systems senden und Administratorrechte erlangen.

Cisco hat laufende Angriffe bestätigt. Das Unternehmen hat jedoch keine Details zu den Angreifern, ihren Zielen oder dem Umfang der Ausnutzung veröffentlicht.

Behobene Versionen decken mehrere Softwarezweige ab

Cisco fordert Kunden dazu auf, auf eine Version zu aktualisieren, die die Schwachstelle behebt. Die folgende Tabelle zeigt die erste behobene Version für jeden Softwarezweig.

Cisco Catalyst SD-WAN-Version	Erste behobene Version
Vor 20.9	Auf eine behobene Version migrieren
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1

Organisationen, die Versionen vor 20.9 verwenden, müssen daher auf eine behobene Version wechseln.

Cisco veröffentlicht Hinweise zur Untersuchung von Angriffen

Zusammen mit den Patches veröffentlichte Cisco Indikatoren, die Sicherheitsteams bei der Untersuchung einer möglichen Kompromittierung unterstützen sollen.

Das Unternehmen gibt an, dass Angreifer %6a, die URI-codierte Form des Buchstabens „j“, in schädlichen Anfragen verwendet haben.

Administratoren sollten außerdem Einträge mit j_security_check von unbekannten oder nicht autorisierten IP-Adressen in diesen Protokollen überprüfen:

• /var/log/nms/containers/service-proxy/serviceproxy-access.log
• /var/log/nms/vmanage-server.log

Diese Einträge können eine Untersuchung unterstützen, allerdings sollten Teams sie im jeweiligen Kontext bewerten, bevor sie Schlussfolgerungen ziehen.

Für weitere Unterstützung können sich Kunden an Ciscos Technical Assistance Center wenden. Vor der Eröffnung eines Falls empfiehlt Cisco, Admin-Tech-Dateien zu sammeln, um die Überprüfung zu unterstützen.

Bundesbehörden haben Frist bis zum 3. Oktober

CISA nahm CVE-2026-76504 am 30. September in seinen Known Exploited Vulnerabilities-Katalog auf. Die Behörde wies zivile US-Bundesbehörden der Exekutive an, die Schwachstelle bis zum 3. Oktober 2026 zu beheben.

Die Cisco SD-WAN-Zero-Day-Schwachstelle folgt auf vier weitere aktiv ausgenutzte SD-WAN-Schwachstellen, die Anfang dieses Jahres gemeldet wurden.

Im Februar behob Cisco CVE-2026-20127, die Angreifer mindestens seit 2023 ausgenutzt hatten. Im Mai bestätigte das Unternehmen anschließend Angriffe, bei denen die Authentifizierungsumgehungsschwachstelle CVE-2026-20182 ausgenutzt wurde.

Im Juni meldete Cisco die Ausnutzung von CVE-2026-20245 und CVE-2026-20262, um Root-Rechte zu erlangen. Diese jüngste Offenlegung fügt einen weiteren bestätigten Angriffsweg gegen die SD-WAN-Software des Unternehmens hinzu.