CISA 30 вересня 2026 року внесло до каталогу відомих експлуатованих вразливостей (KEV) критичну вразливість CVE-2026-76504 у Cisco Catalyst SD-WAN Manager (vManage). Вразливість з оцінкою CVSS 9.8 дає змогу неавтентифікованому віддаленому зловмиснику отримати доступ до API системи з правами адміністратора, надіславши спеціально сформований HTTP-запит. За даними Cisco, активну експлуатацію зафіксовано у вересні 2026 року. Тимчасових рішень не існує — єдиний захід захисту — оновлення до виправленої версії. Федеральні цивільні агентства США (FCEB) зобов’язані встановити патч до 3 жовтня 2026 року.
Технічна суть вразливості
Згідно з бюлетенем Cisco, вразливість пов’язана з некоректною обробкою кодування URI в HTTP-запитах до API Cisco Catalyst SD-WAN Manager. Класифікація слабкості — CWE-177 (неправильна обробка закодованого URL). Зловмисник може обійти правило автентифікації, яке обмежує доступ до певного ресурсу, використовуючи URL-кодовані варіанти шляху /j_security_check — наприклад, /%6a_security_check. Успішна експлуатація надає повний доступ до API з привілеями адміністратора без необхідності знати облікові дані.
Вектор атаки — мережевий, складність експлуатації низька, взаємодія користувача не потрібна. Повний вектор CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Запис у NVD підтверджує критичний рівень небезпеки.
Вражені версії та виправлення
Вразливість стосується лише компонента Cisco Catalyst SD-WAN Manager (vManage) — контролери, валідатори та прикордонні маршрутизатори не потребують оновлення в межах цього бюлетеня безпеки, як зазначає Cisco в керівництві з усунення. Вразливість присутня незалежно від конфігурації системи.
Виправлені версії за гілками релізів:
- Раніше 20.9 — потрібна міграція на підтримувану гілку
- 20.9 — виправлено у 20.9.10.1
- 20.12 — виправлено у 20.12.8.2
- 20.15 — виправлено у 20.15.6.1
- 20.18 — виправлено у 20.18.4.1
- 26.1 — виправлено у 26.1.2.1
- 26.2 — виправлено у 26.2.1
Активна експлуатація та відсутність деталей
Cisco PSIRT повідомляє, що стало відомо про активну експлуатацію CVE-2026-76504 у вересні 2026 року. Втім ані Cisco, ані інші доступні джерела не розкривають, яка група стоїть за атаками, скільки організацій скомпрометовано, який масштаб кампанії та коли стався перший випадок експлуатації. Особливе занепокоєння викликає те, що системи SD-WAN Manager, доступні з інтернету, передусім перебувають під ризиком компрометації.
Варто відзначити контекст: це вже не перша критична вразливість у продуктах Cisco за останні тижні. Раніше ми писали про обхід автентифікації в Cisco ISE з CVSS 10.0, а також про критичну RCE у Nexus 9000. Платформа SD-WAN, яку підприємства використовують як єдину панель керування великими мережами, залишається привабливою ціллю для зловмисників.
Виявлення ознак компрометації
Cisco рекомендує перевірити два лог-файли на ознаки експлуатації, однак попереджає, що подібні записи можуть з’являтися і під час нормальної роботи системи — їх потрібно зіставляти з типовою мережевою поведінкою організації:
- Журнал proxy-сервісу:
/var/log/nms/containers/service-proxy/serviceproxy-access.log— шукати POST-запити до URL-кодованих варіантівj_security_check(наприклад,/%6a_security_check) з невідомих або неавторизованих IP-адрес - Журнал vManage:
/var/log/nms/vmanage-server.log— шукати запити доj_security_checkз невідомих IP-адрес, особливо для облікових записів з іменами, що починаються зviptela-reserved-
Порядок реагування
Тимчасових рішень для CVE-2026-76504 не існує. Cisco рекомендує таку послідовність дій:
- Обмежити доступ до SD-WAN Manager з недовірених мереж, зокрема з інтернету. Якщо зовнішній доступ необхідний — дозволити підключення лише з відомих довірених хостів
- Зібрати файли admin-tech з усіх екземплярів Catalyst SD-WAN Manager, включно з вузлами кластера та аварійного відновлення, до оновлення — щоб діагностичні дані не були втрачені
- Оновити всі Manager/vManage до виправленої версії з таблиці вище, перевіривши сумісність з контролерами за матрицею сумісності
- Відкрити кейс у Cisco TAC і передати зібрані файли admin-tech для сканування на індикатори компрометації
Триденний проміжок між публікацією бюлетеня (30 вересня) та дедлайном FCEB (3 жовтня) у поєднанні з відсутністю тимчасових рішень і підтвердженою активною експлуатацією робить цю вразливість завданням максимального пріоритету. Організації, які використовують Cisco Catalyst SD-WAN Manager, мають негайно перевірити версію ПЗ, зібрати діагностику й запланувати оновлення — відкладати патч за підтвердженої експлуатації вразливості з CVSS 9.8 і мережевим вектором атаки без вимоги автентифікації неприпустимо.
