Неаутентифицированные злоумышленники научились удаленно получать доступ к уязвимым развертываниям Cisco Catalyst SD-WAN Manager с привилегиями администратора, если те не закрыты файерволлами.

С пометкой «срочно»

Компания Cisco выпустила обновления безопасности к критической уязвимости нулевого дня в Catalyst SD-WAN Manager (получила индекс CVE-2026-76504). Злоумышленники начали активно эксплуатировать ее для повышения привилегий до уровня администратора.

Catalyst SD-WAN Manager (прежде называвшийся SD-WAN vManage) - это программное обеспечение для управления сетевыми ресурсами, которое позволяет администраторам отслеживать и управлять крупным (до 6 тыс. единиц) массивом устройств SD-WAN из единой панели управления.

Ранее известный как SD-WAN vManage

«В сентябре 2026 года подразделению Cisco PSIRT стало известно об активной эксплуатации этой уязвимости», - говорится в публикации компании. - «Cisco настоятельно рекомендует клиентам обновиться до версии программного обеспечения, в которой эта уязвимость устранена».

CVE-2026-76504 затрагивает все развертывания независимо от конфигурации системы. Она связана с недостатками аутентификации на основе сессий API: неаутентифицированные злоумышленники удаленно получать доступ к уязвимым системам с привилегиями администратора.

«Уязвимость возникает из-за некорректной обработки кодирования URI в HTTP-запросе, что позволяет запросу обойти правило аутентификации, ограничивающее доступ к определенной конечной точке API», - указывается в бюллетене Cisco. - «Злоумышленник может эксплуатировать эту уязвимость, отправив специально сформированный HTTP-запрос к API незащищенной системы».

«Речь идет о довольно заурядной ошибке с заурядным же методом эксплуатации, который доступен, впрочем, только при условии, что уязвимый API доступен из интернета и не закрыт файерволлом, - отмечает Дмитрий Гвоздев, генеральный директор компании «Информационные технологии будущего». - В то время как обновить Catalyst до исправной версии необходимо, первое, чем следует озаботиться специалистам по кибербезопасности, это - удостовериться, что панель управления SD-WAN недоступна для посторонних».

Скудные подробности

Компания не стала раскрывать дополнительных подробностей об атаках, в ходе которых использовалась данная уязвимость, но опубликовала индикаторы компрометации (IOC), предупредив администраторов, что злоумышленники используют последовательность символов %6a в качестве кодированной в URI буквы j во вредоносных запросах.

Работникам корпоративных департаментов кибербезопасности также рекомендуется проверить файл serviceproxy-access.log, расположенный в каталоге /var/log/nms/containers/service-proxy и файл vmanage-server.log в каталоге /var/log/nms/ на наличие записей, связанных с j_security_check, поступивших с неизвестных или неавторизованных IP-адресов.

«Чтобы определить, была ли скомпрометирована система Cisco Catalyst SD-WAN Manager, клиенты могут открыть обращение в Cisco TAC», - добавила компания, посоветовав администраторам предварительно собрать файлы admin-tech, необходимые для проведения проверки.

Исправленными значатся версии 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 и 26.2.1.

CVE-2026-76504 стала пятой по счету уязвимостью нулевого дня в SD-WAN с начала года.

В феврале Cisco устранила уязвимость (CVE-2026-20127), которую злоумышленники эксплуатировали как минимум с 2023 года. В мае компания сообщила об активной эксплуатации 10-балльной уязвимости CVE-2026-20182 в Catalyst SD-WAN Controller, позволявшей обойти аутентификацию и получить права администратора на не обновленных устройствах.

В начале июня Cisco предупредила еще о двух уязвимостях нулевого дня в SD-WAN (CVE-2026-20245 и CVE-2026-20262), которые злоумышленники эксплуатировали для получения прав root на уязвимых системах.

На днях Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) добавило CVE-2026-76504 в свой каталог известных эксплуатируемых уязвимостей (KEV) и распорядилось, чтобы федеральные ведомства США защитили свои системы от атак до субботы, 3 октября.

С ноября 2021 года CISA включила в каталог 90 уязвимостей Cisco, которые эксплуатировались в реальных атаках. Среди них — четыре уязвимости в Cisco Catalyst SD-WAN Manager и семь уязвимостей, использовавшихся операторами программ-вымогателей.

• В каком ЦОД разместить оборудование Colocation? Найти ответ на ИТ-маркетплейсе CNewsMarket