Cisco устраняет пятую за год 0-day в SD-WAN Manager, уже используемую в атаках

Компания Cisco выпустила обновления безопасности, закрывающие критическую уязвимость нулевого дня в Catalyst SD-WAN Manager (CVE-2026-76504). По данным производителя, злоумышленники уже активно используют её для повышения привилегий до администраторских.

Catalyst SD-WAN Manager (прежнее название — SD-WAN vManage) — это программное обеспечение для управления сетью, позволяющее администраторам контролировать до 6000 устройств SD-WAN из единой панели. О фактах эксплуатации в Cisco PSIRT узнали в сентябре 2026 года; клиентам настоятельно рекомендуют перейти на исправленные версии.

Суть уязвимости

Проблема кроется в механизме управления сессионной аутентификацией через API и затрагивает все развёртывания вне зависимости от конфигурации системы. Причина — некорректная обработка URI-кодирования в HTTP-запросе, из-за которой запрос обходит правило аутентификации, ограничивающее доступ к определённой конечной точке API. Атакующему достаточно отправить специально сформированный HTTP-запрос, чтобы получить удалённый доступ с правами администратора без какой-либо аутентификации.

Подробностей о самих атаках Cisco не раскрыла, но опубликовала индикаторы компрометации. В частности, злоумышленники используют последовательность %6a — URI-кодированный символ «j» — в вредоносных запросах. Администраторам советуют проверить журналы serviceproxy-access.log (в каталоге /var/log/nms/containers/service-proxy) и vmanage-server.log (в /var/log/nms/) на записи о j_security_check с неизвестных или неавторизованных IP-адресов. При подозрении на компрометацию Cisco предлагает обращаться в техническую поддержку TAC, предварительно собрав файлы admin-tech.

Пятая за год

CVE-2026-76504 стала уже пятой уязвимостью нулевого дня в SD-WAN, эксплуатируемой «в дикой природе» с начала 2026 года. В феврале Cisco закрыла брешь с раскрытием информации (CVE-2026-20127), эксплуатировавшуюся как минимум с 2023 года. В мае — критический обход аутентификации в SD-WAN Controller (CVE-2026-20182). В начале июня были устранены ещё две 0-day (CVE-2026-20245 и CVE-2026-20262), позволявшие получать права root.

По данным CISA, с ноября 2021 года в реальных атаках было замечено 90 уязвимостей Cisco, четыре из которых приходятся на Catalyst SD-WAN Manager, а семь использовались операторами программ-вымогателей.

Источник: Bleeping Computer