Критическая уязвимость в Cisco Catalyst SD-WAN Manager активно эксплуатируется — CISA требует патча до 3 октября

CISA 30 сентября 2026 года внесла в каталог известных эксплуатируемых уязвимостей (KEV) критическую уязвимость CVE-2026-76504 в Cisco Catalyst SD-WAN Manager (vManage). Уязвимость с оценкой CVSS 9.8 позволяет неаутентифицированному удалённому атакующему получить доступ к API системы с правами администратора, отправив специально сформированный HTTP-запрос. По данным Cisco, активная эксплуатация зафиксирована в сентябре 2026 года. Обходных решений не существует — единственная мера защиты — обновление до исправленной версии. Федеральные гражданские агентства США (FCEB) обязаны применить патч до 3 октября 2026 года.

Техническая суть уязвимости

Согласно бюллетеню Cisco, уязвимость связана с некорректной обработкой кодирования URI в HTTP-запросах к API Cisco Catalyst SD-WAN Manager. Классификация слабости — CWE-177 (неправильная обработка закодированного URL). Атакующий может обойти правило аутентификации, которое ограничивает доступ к определённому ресурсу, используя URL-кодированные варианты пути /j_security_check — например, /%6a_security_check. Успешная эксплуатация даёт полный доступ к API с привилегиями администратора без необходимости знать учётные данные.

Вектор атаки — сетевой, сложность эксплуатации низкая, взаимодействие пользователя не требуется. Полный вектор CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Запись в NVD подтверждает критический уровень опасности.

Затронутые версии и исправления

Уязвимость затрагивает только компонент Cisco Catalyst SD-WAN Manager (vManage) — контроллеры, валидаторы и пограничные маршрутизаторы не требуют обновления в рамках данного бюллетеня, как указывает Cisco в руководстве по устранению. Уязвимость присутствует вне зависимости от конфигурации системы.

Исправленные версии по веткам релизов:

• Ранее 20.9 — требуется миграция на поддерживаемую ветку
• 20.9 — исправлено в 20.9.10.1
• 20.12 — исправлено в 20.12.8.2
• 20.15 — исправлено в 20.15.6.1
• 20.18 — исправлено в 20.18.4.1
• 26.1 — исправлено в 26.1.2.1
• 26.2 — исправлено в 26.2.1

Активная эксплуатация и отсутствие деталей

Cisco PSIRT сообщает, что стало известно об активной эксплуатации CVE-2026-76504 в сентябре 2026 года. Однако ни Cisco, ни другие доступные источники не раскрывают, какая группировка стоит за атаками, сколько организаций скомпрометировано, каков масштаб кампании и когда произошёл первый случай эксплуатации. Особую обеспокоенность вызывает то, что системы SD-WAN Manager, доступные из интернета, подвержены риску компрометации в первую очередь.

Стоит отметить контекст: это уже не первая критическая уязвимость в продуктах Cisco за последние недели. Ранее мы писали об обходе аутентификации в Cisco ISE с CVSS 10.0, а также о критической RCE в Nexus 9000. Платформа SD-WAN, используемая предприятиями как единая панель управления крупными сетями, остаётся привлекательной целью для атакующих.

Обнаружение признаков компрометации

Cisco рекомендует проверить два лог-файла на признаки эксплуатации, однако предупреждает, что аналогичные записи могут появляться и при нормальной работе системы — их необходимо сопоставлять с типичным сетевым поведением организации:

• Лог прокси-сервиса: /var/log/nms/containers/service-proxy/serviceproxy-access.log — искать POST-запросы к URL-кодированным вариантам j_security_check (например, /%6a_security_check) с неизвестных или неавторизованных IP-адресов
• Лог vManage: /var/log/nms/vmanage-server.log — искать запросы к j_security_check с неизвестных IP-адресов, особенно для учётных записей с именами, начинающимися с viptela-reserved-

Порядок реагирования

Обходных решений для CVE-2026-76504 не существует. Cisco рекомендует следующую последовательность действий:

1. Ограничить доступ к SD-WAN Manager из недоверенных сетей, включая интернет. Если внешний доступ необходим — разрешить подключения только с известных доверенных хостов
2. Собрать файлы admin-tech со всех экземпляров Catalyst SD-WAN Manager, включая узлы кластера и аварийного восстановления, до обновления — чтобы диагностические данные не были утрачены
3. Обновить все Manager/vManage до исправленной версии из таблицы выше, проверив совместимость с контроллерами по матрице совместимости
4. Открыть кейс в Cisco TAC и передать собранные файлы admin-tech для сканирования на индикаторы компрометации

Трёхдневный срок между публикацией бюллетеня (30 сентября) и дедлайном FCEB (3 октября) в сочетании с отсутствием обходных решений и подтверждённой активной эксплуатацией делает эту уязвимость задачей максимального приоритета. Организации, использующие Cisco Catalyst SD-WAN Manager, должны немедленно проверить версию ПО, собрать диагностику и запланировать обновление — откладывать патч при подтверждённой эксплуатации уязвимости с CVSS 9.8 и сетевым вектором атаки без требования аутентификации недопустимо.