CVE-2026-76504: bypass sfruttato in Cisco Catalyst SD-WAN Manager
CVE-2026-76504 permette di aggirare l’autenticazione delle API di Cisco Catalyst SD-WAN Manager ed è già sfruttata. Versioni corrette e cosa fare subito.
📌 Sviluppi successivi: Cisco SD-WAN Manager: nessun workaround, verifica le intrusioni (1 ottobre 2026)
Il 30 settembre 2026 Cisco ha pubblicato il bollettino di sicurezza cisco-sa-sdwan-webauth-xr8beuuU per CVE-2026-76504, una vulnerabilità di Cisco Catalyst SD-WAN Manager che permette di aggirare l’autenticazione delle API. Secondo il produttore, la vulnerabilità è già sfruttata attivamente. Lo stesso giorno la CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV), con scadenza al 3 ottobre 2026 per le agenzie federali statunitensi.
Nei giorni successivi hanno pubblicato i loro avvisi anche diversi CSIRT nazionali: l’NCSC olandese (NCSC-2026-0395), l’NCSC finlandese di Traficom, il CERT-FR dell’ANSSI (CERTFR-2026-AVI-1246) e il Canadian Centre for Cyber Security (AV26-978).
Cosa è successo
Catalyst SD-WAN Manager è la console centrale da cui si configura e si gestisce una rete SD-WAN Cisco. Il bollettino del produttore descrive una vulnerabilità di bypass dell’autenticazione delle API: un attaccante remoto, senza credenziali, può ottenere l’accesso all’interfaccia di gestione.
L’NCSC finlandese classifica la vulnerabilità come critica, con CVSS 3.1 pari a 9,8, e spiega che consente il controllo remoto del sistema con privilegi di amministratore senza alcuna autenticazione. Il CERT-FR riassume il rischio come aggiramento della politica di sicurezza e riporta che Cisco indica la vulnerabilità come attivamente sfruttata.
Dettagli tecnici
- CVE: CVE-2026-76504, CVSS 3.1 9,8 secondo l’NCSC finlandese.
- Prodotto: Cisco Catalyst SD-WAN Manager. Secondo l’NCSC finlandese sono colpite tutte le installazioni con una versione non corretta, indipendentemente dalla configurazione.
- Causa: secondo l’avviso finlandese, il difetto sta nella gestione errata della codifica degli URI nel controllo di autenticazione delle API. Una richiesta API modificata ad arte elude la regola di autenticazione e arriva alle API senza le normali verifiche. Nel catalogo KEV la vulnerabilità è registrata come “Hex Encoding Vulnerability”.
- Vettore: rete, da remoto e senza autenticazione.
- Effetti descritti: accesso all’interfaccia di gestione, privilegi di livello amministratore e controllo completo dell’ambiente SD-WAN.
- Sfruttamento: confermato da Cisco. Il catalogo KEV non indica, per ora, un uso noto in campagne ransomware (“Unknown”).
- MITRE ATT&CK: quando il Manager è raggiungibile da Internet, lo sfruttamento rientra in T1190 (Exploit Public-Facing Application).
- Indicatori: Cisco ha pubblicato nel bollettino degli indicatori di compromissione, utili per capire se un sistema è già stato violato.
Versioni corrette
Le correzioni sono incluse in queste versioni e nelle successive:
- 20.9.10.1;
- 20.12.8.2;
- 20.15.6.1;
- 20.18.4.1;
- 26.1.2.1;
- 26.2.1.
Le versioni precedenti alla 20.9 vanno migrate a una versione supportata e corretta.
Impatto per le aziende europee e italiane
Una SD-WAN collega sedi, filiali e data center, e il Manager ne è il punto di comando: chi ne prende il controllo con privilegi di amministratore controlla la configurazione della rete di tutte le sedi gestite. Per questo il rischio è alto soprattutto per le organizzazioni con molte sedi, comprese le strutture sanitarie con più presidi, dove la rete tra le sedi può sostenere anche l’accesso ai sistemi clinici.
L’NCSC finlandese segnala che il rischio è particolarmente alto per i sistemi raggiungibili direttamente da Internet o con porte aperte verso la rete pubblica.
Per i soggetti NIS2, una compromissione della console che governa la rete geografica può diventare un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Una vulnerabilità sfruttata e inserita nel KEV è anche un caso tipico in cui la gestione delle vulnerabilità deve dimostrare priorità e tempi di correzione documentati.
Cosa fare subito
- Individua le istanze: elenca tutti i Catalyst SD-WAN Manager, compresi quelli di laboratorio o di disaster recovery, e verifica la versione installata.
- Aggiorna senza aspettare: porta ogni istanza a una delle versioni corrette indicate o a una successiva. Se sei su una versione precedente alla 20.9, pianifica subito la migrazione a una versione supportata.
- Riduci l’esposizione, come raccomanda Cisco:
- togli l’accesso diretto da Internet al Manager;
- consenti le connessioni di gestione solo da indirizzi IP noti;
- proteggi il sistema con un firewall.
- Cerca segni di compromissione: confronta i sistemi con gli indicatori pubblicati nel bollettino Cisco e controlla i log dell’ambiente, in particolare le chiamate alle API di gestione da indirizzi inattesi.
- Verifica le modifiche: se trovi indizi di accesso non autorizzato, controlla gli account amministrativi e le modifiche recenti alla configurazione della rete SD-WAN, e tratta l’evento come un possibile incidente.
- Tieni sotto controllo i log: continua a monitorare l’ambiente anche dopo l’aggiornamento, come indicato da Cisco.
Come aiuta ARXDOME
ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’interfaccia di gestione come quella dell’SD-WAN Manager è raggiungibile da fuori. ARX Sentry raccoglie i log dei firewall e degli altri dispositivi di rete in un collettore centrale, così gli accessi anomali al perimetro restano sotto gli occhi degli analisti. ARX Horizon permette di consultare dal portale le vulnerabilità e di cercare gli indicatori di compromissione.
Ultimo aggiornamento:
