Kritische Schwachstelle in Cisco Catalyst SD-WAN Manager wird aktiv ausgenutzt – CISA verlangt Patch bis 3. Oktober

CISA hat am 30. September 2026 die kritische Schwachstelle CVE-2026-76504 in Cisco Catalyst SD-WAN Manager (vManage) in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Die Schwachstelle mit einem CVSS-Score von 9.8 ermöglicht es einem nicht authentifizierten, entfernten Angreifer, durch Senden einer speziell gestalteten HTTP-Anfrage mit Administratorrechten auf die API des Systems zuzugreifen. Nach Angaben von Cisco wurde eine aktive Ausnutzung im September 2026 festgestellt. Es existieren keine Workarounds – die einzige Schutzmaßnahme ist das Update auf eine fehlerbereinigte Version. Die zivilen Bundesbehörden der USA (FCEB) sind verpflichtet, den Patch bis zum 3. Oktober 2026 einzuspielen.

Technische Sorg der Schwachstelle

Laut dem Cisco-Sicherheitshinweis steht die Schwachstelle im Zusammenhang mit der fehlerhaften Verarbeitung der URI-Codierung in HTTP-Anfragen an die API von Cisco Catalyst SD-WAN Manager. Die Klassifizierung der Schwachstelle lautet CWE-177 (Improper Handling of URL Encoding). Ein Angreifer kann eine Authentifizierungsregel umgehen, die den Zugriff auf eine bestimmte Ressource einschränkt, indem er URL-codierte Varianten des Pfads /j_security_check verwendet – etwa /%6a_security_check. Eine erfolgreiche Ausnutzung verschafft vollständigen Zugriff auf die API mit Administratorprivilegien, ohne dass Anmeldedaten bekannt sein müssen.

Der Angriffsvektor ist netzwerkbasiert, die Ausnutzung ist wenig komplex und erfordert keine Benutzerinteraktion. Der vollständige CVSS-3.1-Vektor lautet: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Der Eintrag in der NVD bestätigt die kritische Gefährdungsstufe.

Betroffene Versionen und Korrekturen

Die Schwachstelle betrifft nur die Komponente Cisco Catalyst SD-WAN Manager (vManage) – Controller, Validatoren und Edge-Router müssen im Rahmen dieses Sicherheitshinweises nicht aktualisiert werden, wie Cisco im Remediation-Leitfaden ausführt. Die Schwachstelle besteht unabhängig von der Systemkonfiguration.

Fehlerbereinigte Versionen nach Release-Zweigen:

• Früher als 20.9 – Migration auf einen unterstützten Release-Zweig erforderlich
• 20.9 – behoben in 20.9.10.1
• 20.12 – behoben in 20.12.8.2
• 20.15 – behoben in 20.15.6.1
• 20.18 – behoben in 20.18.4.1
• 26.1 – behoben in 26.1.2.1
• 26.2 – behoben in 26.2.1

Aktive Ausnutzung und fehlende Details

Cisco PSIRT berichtet, dass im September 2026 eine aktive Ausnutzung von CVE-2026-76504 bekannt wurde. Weder Cisco noch andere verfügbare Quellen legen jedoch offen, welche Gruppe hinter den Angriffen steht, wie viele Organisationen kompromittiert wurden, wie groß das Ausmaß der Kampagne ist und wann der erste Ausnutzungsfall auftrat. Besonders besorgniserregend ist, dass aus dem Internet erreichbare SD-WAN-Manager-Systeme vorrangig dem Risiko einer Kompromittierung ausgesetzt sind.

Es ist wichtig, den Kontext zu berücksichtigen: Dies ist nicht die erste kritische Schwachstelle in Cisco-Produkten in den letzten Wochen. Zuvor haben wir bereits über den Authentifizierungs-Bypass in Cisco ISE mit CVSS 10.0 sowie über eine kritische RCE in Nexus 9000 berichtet. Die von Unternehmen als zentrale Verwaltungsebene für große Netze genutzte SD-WAN-Plattform bleibt ein attraktives Ziel für Angreifer.

Erkennung von Anzeichen einer Kompromittierung

Cisco empfiehlt, zwei Log-Dateien auf Hinweise auf eine Ausnutzung zu prüfen, warnt jedoch, dass ähnliche Einträge auch bei normalem Systembetrieb auftreten können – sie müssen mit dem typischen Netzwerkverhalten der Organisation abgeglichen werden:

• Log des Proxy-Dienstes: /var/log/nms/containers/service-proxy/serviceproxy-access.log – nach POST-Anfragen an URL-codierte Varianten von j_security_check suchen (z. B. /%6a_security_check) von unbekannten oder nicht autorisierten IP-Adressen
• vManage-Log: /var/log/nms/vmanage-server.log – nach Anfragen an j_security_check von unbekannten IP-Adressen suchen, insbesondere für Benutzerkonten mit Namen, die mit viptela-reserved- beginnen

Reaktionsablauf

Für CVE-2026-76504 existieren keine Workarounds. Cisco empfiehlt die folgende Vorgehensweise:

1. Den Zugriff einschränken auf SD-WAN Manager aus nicht vertrauenswürdigen Netzen, einschließlich des Internets. Falls externer Zugriff erforderlich ist, sollten Verbindungen nur von bekannten, vertrauenswürdigen Hosts erlaubt werden.
2. admin-tech-Dateien sammeln von allen Instanzen von Catalyst SD-WAN Manager, einschließlich Cluster- und Disaster-Recovery-Knoten, vor dem Update, damit Diagnosedaten nicht verloren gehen.
3. Alle Manager/vManage-Instanzen aktualisieren auf eine fehlerbereinigte Version aus der obigen Tabelle, wobei die Kompatibilität mit den Controllern anhand der Kompatibilitätsmatrix geprüft werden muss.
4. Einen Case bei Cisco TAC eröffnen und die gesammelten admin-tech-Dateien zur Überprüfung auf Kompromittierungsindikatoren übermitteln.

Die Frist von drei Tagen zwischen der Veröffentlichung des Sicherheitshinweises (30. September) und der FCEB-Deadline (3. Oktober) in Kombination mit dem Fehlen von Workarounds und der bestätigten aktiven Ausnutzung macht diese Schwachstelle zu einer Aufgabe mit höchster Priorität. Organisationen, die Cisco Catalyst SD-WAN Manager einsetzen, sollten ihre Softwareversion umgehend prüfen, Diagnosedaten sammeln und das Update einplanen – bei einer bestätigten Ausnutzung einer Schwachstelle mit CVSS 9.8 und netzwerkbasiertem Angriffsvektor ohne Authentifizierungspflicht ist es nicht vertretbar, den Patch aufzuschieben.