Cisco SD-WAN Manager: nessun workaround, verifica le intrusioni

La vulnerabilità CVE-2026-76504 di Cisco Catalyst SD-WAN Manager, che permette di aggirare l’autenticazione delle API e di ottenere privilegi di amministratore, è già sfruttata: bollettino, versioni corrette e prime misure sono descritti nell’articolo del 30 settembre. Da allora sono emersi alcuni dettagli utili a chi gestisce la piattaforma: secondo Infosecurity Magazine non esistono soluzioni alternative all’aggiornamento, gli ambienti ospitati nel cloud di Cisco hanno già ricevuto una mitigazione e Rapid7 raccomanda di verificare se i sistemi sono stati compromessi. Il 9 ottobre anche lo SK-CERT slovacco ha diffuso un avviso.

Le fonti di questo aggiornamento sono due e quasi tutti i dettagli arrivano da una sola testata, Infosecurity Magazine: di seguito ogni informazione è attribuita alla sua fonte.

Nessun workaround: serve l’aggiornamento

Secondo Infosecurity Magazine, Cisco precisa che non esistono workaround in grado di eliminare la vulnerabilità senza installare l’aggiornamento di sicurezza. Le misure di riduzione dell’esposizione indicate nel bollettino (niente accesso diretto da Internet, connessioni di gestione solo da indirizzi noti, firewall) restano utili per abbassare il rischio, ma non correggono il difetto: un Manager con una versione vulnerabile resta attaccabile da chiunque ne raggiunga l’interfaccia.

La testata richiama anche la causa: la gestione errata della codifica degli URI nelle richieste HTTP permette a una richiesta costruita ad arte di eludere le regole di autenticazione e di arrivare alle API con i permessi di un amministratore. Sempre secondo Infosecurity Magazine, sono potenzialmente a rischio tutti i Manager con porte esposte su Internet.

Ambienti cloud di Cisco: mitigazione già applicata

Infosecurity Magazine riporta che Cisco ha già applicato una mitigazione negli ambienti Cisco Catalyst SD-WAN Cloud Hosted. Il produttore aggiunge una cautela: la mitigazione ha funzionato in un ambiente di prova, ma spetta ai clienti verificare che sia applicabile ed efficace nel proprio ambiente e nelle proprie condizioni d’uso.

La distinzione ha effetti pratici:

• Manager installati in proprio, nel data center o in un cloud gestito dall’azienda: l’aggiornamento a una versione corretta è a tuo carico;
• ambienti Cloud Hosted: la mitigazione l’ha applicata Cisco, ma la verifica della sua efficacia resta al cliente.

Dopo l’aggiornamento: cercare la compromissione

L’indicazione più operativa arriva da Rapid7. In un post del 1° ottobre, citato da Infosecurity Magazine, la società raccomanda di passare a una versione corretta senza aspettare il normale ciclo di patch e, dato che lo sfruttamento è già avvenuto, di verificare se i sistemi colpiti sono stati compromessi.

L’aggiornamento chiude la falla, ma non annulla quello che un attaccante può aver fatto prima. Secondo Infosecurity Magazine, con l’accesso alle API come amministratore un attaccante potrebbe spostarsi nella rete gestita e modificare o cancellare file e backup. Le fonti non descrivono attacchi reali con queste conseguenze: si tratta di ciò che l’accesso renderebbe possibile. In termini MITRE ATT&CK, dopo lo sfruttamento iniziale (T1190, Exploit Public-Facing Application), la cancellazione dei backup rientrerebbe in T1490 (Inhibit System Recovery) e quella dei file in T1485 (Data Destruction).

Nessuna delle due fonti indica attori, campagne, settori colpiti o indicatori di compromissione nuovi rispetto a quelli del bollettino Cisco.

Il quadro

• SK-CERT: il 9 ottobre, a nove giorni dal bollettino, il CSIRT nazionale slovacco ha pubblicato un avviso dal titolo «VAROVANIE» (avvertimento) su una vulnerabilità zero-day critica e attivamente sfruttata in Cisco Catalyst SD-WAN.
• CISA: come già riportato, la vulnerabilità è nel catalogo Known Exploited Vulnerabilities; Infosecurity Magazine ricorda che l’agenzia raccomanda di applicare le mitigazioni.
• Cisco ISE: Infosecurity Magazine ricorda che a settembre Cisco aveva segnalato lo sfruttamento attivo di CVE-2026-76460, con punteggio CVSS 10, in Cisco Identity Services Engine (ISE), un altro prodotto che governa l’infrastruttura di rete.

Impatto per le aziende europee e italiane

A oltre una settimana dalla correzione, la vulnerabilità è ancora oggetto di avvisi di CSIRT europei, come mostra quello dello SK-CERT. Per chi gestisce reti con molte sedi, il rischio sui backup indicato da Infosecurity Magazine è il più delicato: se un attaccante ha modificato o cancellato le copie di sicurezza, il ripristino dopo un incidente diventa più lento e meno affidabile.

Per i soggetti NIS2 il caso tocca due obblighi: la gestione delle vulnerabilità sfruttate, con priorità e tempi documentati, e la continuità operativa, che comprende backup e ripristino. Una compromissione accertata va valutata per la notifica allo CSIRT Italia dell’ACN. Nella sanità, dove la SD-WAN può collegare presidi diversi e l’accesso ai sistemi clinici, conviene verificare i backup prima di averne bisogno.

Cosa fare subito

1. Capisci quale modello usi: Manager installato in proprio oppure ambiente Cloud Hosted di Cisco.
2. Se lo gestisci tu, aggiorna subito a una versione corretta (l’elenco è nell’articolo precedente), senza attendere la finestra di manutenzione ordinaria. Non esistono workaround.
3. Se sei su Cloud Hosted, verifica nel tuo ambiente che la mitigazione applicata da Cisco sia efficace, come chiede il produttore.
4. Cerca segni di compromissione, come raccomanda Rapid7: confronta i sistemi con gli indicatori del bollettino Cisco, controlla i log delle chiamate alle API di gestione, gli account amministrativi e le modifiche recenti alla configurazione.
5. Controlla i backup: verifica che le copie di sicurezza dell’ambiente SD-WAN siano integre e complete e conservane una copia separata, non raggiungibile dal Manager.
6. Se trovi tracce di accesso: tratta l’evento come un incidente, conserva le prove prima di ripristinare e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai se l’interfaccia del Manager è raggiungibile da fuori. ARX Sentry raccoglie i log dei firewall e degli altri dispositivi di rete in un collettore centrale, utile per cercare accessi anomali nel periodo precedente all’aggiornamento. ARX Retain conserva i log su storage europeo con il blocco degli oggetti, che ne impedisce la modifica e la cancellazione: le tracce raccolte restano disponibili per l’indagine anche se i sistemi sono stati alterati.

Ultimo aggiornamento: 9 ottobre 2026