CVE-2026-76504: Krytyczna luka dnia zerowego Cisco SD-WAN Manager wykorzystywana w środowisku rzeczywistym

Cisco ujawniło kolejną aktywnie wykorzystywaną lukę zero-day, która dotyczy infrastruktury Catalyst SD-WAN. Najnowsza wada, śledzona jako CVE-2026-76504, to krytyczne pominięcie uwierzytelniania w Cisco Catalyst SD-WAN Manager, które mogłoby umożliwić nieautoryzowanemu zdalnemu atakującemu uzyskanie dostępu administracyjnego do zainfekowanego systemu.

Luka posiada ocenę CVSS 9.8, a Cisco potwierdziło jej aktywne wykorzystanie we wrześniu 2026 roku. Biorąc pod uwagę centralną rolę, jaką SD-WAN Manager odgrywa w kontrolowaniu infrastruktury sieciowej przedsiębiorstwa, pomyślne wykorzystanie tej luki może narazić organizacje na nieautoryzowane operacje administracyjne i potencjalne zakłócenia w sieci.

Według BleepingComputerjest to piąta aktywnie wykorzystywana luka zero-day w Cisco SD-WAN zgłoszona w 2026 roku. 30 września CISA dodała tę lukę do swojego katalogu Znanych Wykorzystywanych Luk (KEV), wymagając od zagrożonych amerykańskich agencji federalnych jej zalatanie do 3 października 2026 roku.

Rośnie liczba luk wpływających na infrastrukturę sieciową przedsiębiorstw, co podkreśla znaczenie proaktywnego wykrywania zagrożeń, ciągłego monitorowania bezpieczeństwa oraz terminowego zarządzania podatnościami.

Aby wykryć próby wykorzystania CVE-2026-76504, zespoły ds. bezpieczeństwa mogą skorzystać z platformy SOC Prime do eksploracji dostępnych treści detekcyjnych skupionych na lukach i przyspieszenia polowania na zagrożenia. Platforma zapewnia dostęp do logiki detekcyjnej opartej na Sigma, kompatybilnej z ponad 40 technologiami SIEM, EDR i Data Lake, co pomaga organizacjom wzmocnić ich obronę przed pojawiającymi się cyberzagrożeniami.

Specjaliści ds. bezpieczeństwa mogą także korzystać z Uncoder AI, aby usprawnić inżynierię detekcyjną, przekształcić ujawnione wskaźniki w wdrożenia łowieckie, zweryfikować logikę detekcyjną oraz przekazywać zasady na różne platformy bezpieczeństwa.

Skontaktuj się z działem sprzedaży

Analiza CVE-2026-76504

CVE-2026-76504 dotyczy Cisco Catalyst SD-WAN Manager, wcześniej znany jako SD-WAN vManage, niezależnie od konfiguracji systemu. Luka tkwi w zarządzaniu sesją API opartą na uwierzytelnianiu i wynika z niewłaściwego przetwarzania kodowania URI w ramach żądań HTTP.

Według Informacja o bezpieczeństwie Cisco, wada jest sklasyfikowana jako CWE-177 (Niewłaściwe Przetwarzanie Kodowania URL). Pozwala ona na ominięcie reguły uwierzytelniania zaprojektowanej do ograniczenia dostępu do określonego punktu końcowego API za pomocą specjalnie skonstruowanego żądania HTTP.

Zdalny atakujący nie potrzebuje ważnych poświadczeń ani wcześniejszego uwierzytelnienia, aby wykorzystać ten problem. Pomyślne wykorzystanie przyznaje dostęp do API zainfekowanego systemu z uprawnieniami użytkownika admina. Domyślnie to konto ma rolę netadmin, co zezwala na wykonywanie wszystkich operacji na urządzeniu.

Taki poziom dostępu stwarza istotne zagrożenia bezpieczeństwa, ponieważ skompromitowany interfejs zarządzania mógłby potencjalnie zostać użyty do przeprowadzenia nieautoryzowanych działań administracyjnych w środowisku SD-WAN.

Cisco zidentyfikowało lukę podczas rozwiązywania przypadku wsparcia w Centrum Pomocy Technicznej (TAC). Następnie ich zespół Product Security Incident Response Team (PSIRT) potwierdził świadomość aktywnego wykorzystania we wrześniu 2026 roku.

Jednakże, Cisco nie przypisało ataków do konkretnego aktora zagrożenia ani nie ujawniło liczby dotkniętych organizacji. Dwa cytowane raporty również nie dostarczają PoC (Proof of Concept) dotyczącego CVE-2026-76504 ani wystarczających informacji do odtworzenia pełnego łańcucha wykorzystania.

Wskaźniki Naruszenia

Cisco opublikowało IOCs związane z CVE-2026-76504, dotyczące podejrzanych żądań, które celują w mechanizm uwierzytelniania sesyjnego Managera.

Jednym z istotnych wskaźników jest kodowanie URI w ramach końcowego punktu uwierzytelniania j_security_check. Na przykład, atakujący mogą zastąpić znak 'j’ jego zakodowanym odpowiednikiem URI, j, tworząc następującą ścieżkę żądania:

/j_security_check

Ważne jest, że Cisco wyjaśnia, że podatność nie jest ograniczona do tego konkretnego wzoru kodowania. Zakodowanie innego znaku w ramach żądania również może wywołać obejście uwierzytelniania.

Aby wykryć CVE-2026-76504, zespoły ds. bezpieczeństwa powinny sprawdzać żądania pochodzące z nieznanych lub nieautoryzowanych adresów IP:

• /var/log/nms/containers/service-proxy/serviceproxy-access.log
• /var/log/nms/vmanage-server.log

Szczególną uwagę należy zwrócić na nietypowe żądania j_security_check oraz powiązane wpisy dotyczące nazw użytkowników zaczynających się od 'viptela-reserved-’.

Wzorce te mogą również pojawiać się podczas legalnych operacji systemowych, więc obrońcy powinni skorelować je z ustaloną aktywnością sieciową, aby zminimalizować fałszywe alarmy.

Oficjalna informacja od Cisco dostarcza dodatkowych szczegółów technicznych dotyczących CVE-2026-76504, w tym instrukcje dotyczące remediacji i przykłady odpowiednich artefaktów logowych.

Zarządzanie CVE-2026-76504

Cisco wydało aktualizacje zabezpieczeń, które adresują lukę w uwierzytelnianiu, i stanowczo zaleca natychmiastową aktualizację zainfekowanych wdrożeń Cisco Catalyst SD-WAN Manager.

Obecnie nie ma obejścia, które w pełni rozwiązuje problem. Organizacje powinny zatem priorytetowo wdrożyć poprawkę, szczególnie dla interfejsów zarządzania dostępnych z nieufnych sieci.

Poniższa tabela podsumowuje pierwsze opublikowane wersje poprawionego oprogramowania wydane przez Cisco:

Cisco również rozwiązało tę lukę w swojej usłudze zarządzanej w chmurze SD-WAN z wydaniem 20.15.605. Klienci korzystający ze środowiska zarządzanego przez Cisco nie muszą podejmować dodatkowych działań korygujących.

Dla środowisk lokalnych, w których natychmiastowe zastosowanie poprawki nie jest możliwe, Cisco zaleca stosowanie środków tymczasowo redukujących eksponowanie:

• Ogranicz dostęp do interfejsów zarządzania z niezabezpieczonych sieci, w tym z publicznego internetu.
• Zezwalaj na połączenia tylko z znanych, zaufanych hostów, jeżeli konieczne jest zdalne połączenie.
• Umieść komponenty kontrolne SD-WAN za odpowiednimi zabezpieczeniami firewall.
• Monitoruj ruch sieciowy w poszukiwaniu nieoczekiwanych żądań i utrzymuj logi bezpieczeństwa na zewnętrznym systemie, gdzie tylko to możliwe.

Te środki mogą zmniejszyć eksponowanie, ale nie zastępują aktualizacji zabezpieczeń.

W przypadku podejrzenia kompromisu, Cisco zaleca zebranie informacji diagnostycznych przy użyciu polecenia request admin-tech i otworzenie przypadku TAC o priorytecie 3 z identyfikatorem luki w tytule.

Zespoły ds. bezpieczeństwa powinny także zachować istotne logi i zbadać potencjalnie nieautoryzowane działania administracyjne. Zastosowanie poprawki rozwiązuje podstawową wadę, ale nie powinno być traktowane jako dowód, że wcześniej skompromitowane środowisko jest czyste.

Dodatkowo, AI-Native Detection Intelligence Platform od SOC Prime pomaga organizacjom wzmocnić ich postawę bezpieczeństwa poprzez przyspieszenie inżynierii detekcyjnej, rozszerzenie widoczności zagrożeń i operacjonalizację inteligencji przeciwko aktywnie wykorzystywanym lukom.