Как сообщила компания Cisco в своем предупреждении от 30 сентября, злоумышленники используют критическую уязвимость в Cisco Catalyst SD-WAN Manager — системе, которую компании используют для управления своими сетями Cisco SD-WAN.
Эта уязвимость (CVE-2026-76504) может позволить удаленному злоумышленнику, не имеющему прав входа в систему, использовать API Manager с правами администратора. Исправленные версии уже доступны, обходных решений нет.
Уязвимость CVE-2026-76504 имеет оценку CVSS 9,8 из 10. Она находится в той части API Manager, которая обрабатывает сеансы входа в систему.
Manager некорректно обрабатывает кодировку URI в HTTP-запросе. Поэтому специально сформированный запрос может обойти правило аутентификации, предназначенное для ограничения доступа к одной конечной точке API.
Злоумышленнику не требуются учетные данные — достаточно лишь возможности отправить такой запрос в API-интерфейс Manager. По данным Cisco, Manager, подключенные к Интернету, подвержены риску взлома.
По умолчанию пользователь admin обладает ролью netadmin, которая позволяет выполнять все операции на устройстве.
Cisco сообщила, что её группа реагирования на инциденты безопасности продуктов (Product Security Incident Response Team) «узнала об активном использовании этой уязвимости» в сентябре 2026 года. Уязвимость была обнаружена в ходе обработки обращения в службу поддержки Центром технической поддержки Cisco (TAC).
В уведомлении не указано, сколько клиентов подверглось атакам, когда начались атаки, кто их осуществлял и что злоумышленники делали, получив доступ.
Уязвимость затрагивает SD-WAN Manager независимо от конфигурации системы. Другие продукты в списке уязвимых не указаны. Ниже приведены первые исправленные версии для каждого цикла выпуска:
CVE-2026-76504 не связана с тремя уязвимостями Cisco SD-WAN, исправленными ранее: CVE-2026-20182 в мае, а также CVE-2026-20245 и CVE-2026-20262 в июне.
Сравнение уведомлений показывает, что исправленные версии для этих уязвимостей все более ранние, чем те, что приведены в таблице выше. Таким образом, Manager, последнее обновление которого было выполнено для исправлений мая или июня, по-прежнему нуждается в этом обновлении.
В таблице не указаны версии серий 20.10, 20.11, 20.13, 20.14 и 20.16, которые были перечислены в майском уведомлении Cisco. В рекомендации также не упоминаются Cisco SD-WAN Cloud-Pro и Cisco SD-WAN for Government (FedRAMP) — два типа развертывания, указанных в рекомендациях за май и июнь.
Проблема в Cisco SD-WAN Cloud (Cisco Managed) уже устранена в версии 20.15.605, и клиентам, использующим эту версию, не требуется предпринимать никаких действий.
До тех пор, пока локальный Manager не будет обновлен, Cisco рекомендует ограничить доступ к нему из незащищенных сетей, таких как Интернет. Если доступ к Интернету необходим, следует разрешать доступ только известным и доверенным хостам, а компоненты управления должны находиться за брандмауэром.
В хостируемых средах Cisco Catalyst SD-WAN Cloud эта мера защиты уже реализована. По данным Cisco, данная мера защиты прошла успешное тестирование в тестовой среде; компания рекомендует клиентам оценить её влияние на свои собственные сети перед применением.
В руководстве Cisco по укреплению безопасности SD-WAN указано, что административные интерфейсы, такие как порты 443, 22 и 830, не должны быть напрямую открыты для доступа из Интернета. Доступ к Manager по протоколу HTTPS должен осуществляться только с промежуточного хоста или из подсети управления.
Проверка на признаки взлома
Признаки взлома, описанные Cisco, связаны с j_security_check — путем запроса, который Manager использует для входа на основе сеанса. В примере Cisco один символ этого пути закодирован с помощью URI-кодирования, что дает /%6a_security_check, где %6a обозначает букву j.
Следует проверить два файла журналов на наличие записей j_security_check с неизвестных или неавторизованных IP-адресов:
- Файл: /var/log/nms/containers/service-proxy/serviceproxy-access.log
- Файл: /var/log/nms/vmanage-server.log, в частности записи для пользователей, имена которых начинаются с viptela-reserved-
Имена, начинающиеся с viptela-reserved-, принадлежат зарезервированным учётным записям системных служб.
Любой символ в запросе может быть закодирован, поэтому %6a — это лишь пример. Такие же записи могут появляться и в ходе нормальной работы, поэтому каждое совпадение необходимо сверять с обычной активностью, чтобы избежать ложных срабатываний.
Чтобы определить, был ли Manager взломан, клиенты могут открыть заявку уровня Severity 3 в службе Cisco TAC и указать CVE-2026-76504 в заголовке. Cisco просит сначала запустить на Manager команду admin-tech, чтобы можно было проанализировать выходной файл.
В рекомендации не приводится правило обнаружения и не указывается, устраняет ли обновление угрозу со стороны злоумышленника, уже имеющего доступ. В рекомендациях Cisco по уязвимости, обнаруженной в мае, и по первой уязвимости, обнаруженной в июне, указывалось, что одно только обновление не устранит подтвержденный взлом. Клиентам было рекомендовано собрать файл admin-tech перед обновлением.
CVE-2026-76504 следует за серией уязвимостей Cisco SD-WAN, которые в этом году были отмечены как эксплуатируемые. По состоянию на 30 сентября в каталоге «Известные уязвимости, подвергающиеся эксплуатации» Агентства по кибербезопасности и безопасности инфраструктуры США (CISA) было указано восемь уязвимостей Cisco SD-WAN, добавленных в 2026 году.