Cisco SD-WAN Manager: fără workaround, verifică intruziunile

Vulnerabilitatea CVE-2026-76504 din Cisco Catalyst SD-WAN Manager, care permite ocolirea autentificării API și obținerea privilegiilor de administrator, este deja exploatată: buletinul, versiunile corectate și primele măsuri sunt descrise în articolul din 30 septembrie. De atunci au apărut câteva detalii utile pentru cine administrează platforma: potrivit Infosecurity Magazine nu există alternative la actualizare, mediile găzduite în cloud-ul Cisco au primit deja o atenuare, iar Rapid7 recomandă să verifici dacă sistemele au fost compromise. Pe 9 octombrie și SK-CERT din Slovacia a emis un avertisment.

Această actualizare se bazează pe două surse, iar aproape toate detaliile provin dintr-o singură publicație, Infosecurity Magazine: în continuare, fiecare informație este atribuită sursei sale.

Fără workaround: actualizarea este obligatorie

Potrivit Infosecurity Magazine, Cisco precizează că nu există workaround-uri care să elimine vulnerabilitatea fără instalarea actualizării de securitate. Măsurile de reducere a expunerii indicate în buletin (fără acces direct din Internet, conexiuni de administrare doar de la adrese cunoscute, firewall) rămân utile pentru a scădea riscul, dar nu corectează defectul: un Manager cu o versiune vulnerabilă poate fi atacat de oricine îi poate accesa interfața.

Publicația amintește și cauza: gestionarea greșită a codificării URI în cererile HTTP permite unei cereri construite special să ocolească regulile de autentificare și să ajungă la API cu permisiunile unui administrator. Tot potrivit Infosecurity Magazine, orice Manager cu porturi expuse în Internet este potențial în pericol.

Mediile cloud ale Cisco: atenuare deja aplicată

Infosecurity Magazine relatează că Cisco a aplicat deja o atenuare în mediile Cisco Catalyst SD-WAN Cloud Hosted. Producătorul adaugă o precauție: atenuarea a funcționat într-un mediu de test, dar clienții trebuie să verifice dacă este aplicabilă și eficientă în propriul mediu și în propriile condiții de utilizare.

Distincția are efecte practice:

• Manager instalat de tine, în centrul de date sau într-un cloud administrat de compania ta: actualizarea la o versiune corectată este responsabilitatea ta;
• medii Cloud Hosted: atenuarea a fost aplicată de Cisco, dar verificarea eficienței ei rămâne în sarcina clientului.

După actualizare: caută compromiterea

Recomandarea cea mai concretă vine de la Rapid7. Într-o postare din 1 octombrie, citată de Infosecurity Magazine, compania recomandă trecerea la o versiune corectată fără a aștepta ciclul obișnuit de patch-uri și, întrucât exploatarea a avut deja loc, verificarea sistemelor afectate pentru semne de compromitere.

Actualizarea închide breșa, dar nu anulează ce ar fi putut face un atacator înainte. Potrivit Infosecurity Magazine, cu acces la API ca administrator, un atacator s-ar putea deplasa în rețeaua administrată și ar putea modifica sau șterge fișiere și backup-uri. Sursele nu descriu atacuri reale cu aceste consecințe: este vorba despre ce ar face posibil accesul. În termeni MITRE ATT&CK, după exploatarea inițială (T1190, Exploit Public-Facing Application), ștergerea backup-urilor ar intra la T1490 (Inhibit System Recovery), iar cea a fișierelor la T1485 (Data Destruction).

Niciuna dintre cele două surse nu indică actori, campanii, sectoare afectate sau indicatori de compromitere noi față de cei din buletinul Cisco.

Contextul

• SK-CERT: pe 9 octombrie, la nouă zile după buletin, CSIRT-ul național slovac a publicat un avertisment intitulat „VAROVANIE” (avertisment) despre o vulnerabilitate zero-day critică și exploatată activ în Cisco Catalyst SD-WAN.
• CISA: așa cum am relatat deja, vulnerabilitatea se află în catalogul Known Exploited Vulnerabilities; Infosecurity Magazine amintește că agenția recomandă aplicarea măsurilor de atenuare.
• Cisco ISE: Infosecurity Magazine amintește că în septembrie Cisco a semnalat exploatarea activă a CVE-2026-76460, cu scor CVSS 10, în Cisco Identity Services Engine (ISE), un alt produs care guvernează infrastructura de rețea.

Impactul pentru companiile europene și italiene

La mai bine de o săptămână de la corectare, vulnerabilitatea face încă obiectul unor avertismente ale CSIRT-urilor europene, așa cum arată cel al SK-CERT. Pentru cine administrează rețele cu multe sedii, riscul pentru backup-uri descris de Infosecurity Magazine este cel mai delicat: dacă un atacator a modificat sau a șters copiile de siguranță, recuperarea după un incident devine mai lentă și mai puțin fiabilă.

Pentru entitățile supuse NIS2, cazul atinge două obligații: gestionarea vulnerabilităților exploatate, cu priorități și termene documentate, și continuitatea activității, care include backup-ul și recuperarea. O compromitere confirmată trebuie evaluată pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. În sănătate, unde SD-WAN poate conecta unități diferite și accesul la sistemele clinice, merită să verifici backup-urile înainte să ai nevoie de ele.

Ce să faci imediat

1. Află ce model folosești: Manager instalat de tine sau mediu Cloud Hosted al Cisco.
2. Dacă îl administrezi tu, actualizează imediat la o versiune corectată (lista se află în articolul anterior), fără să aștepți fereastra obișnuită de mentenanță. Nu există workaround-uri.
3. Dacă folosești Cloud Hosted, verifică în mediul tău că atenuarea aplicată de Cisco este eficientă, așa cum cere producătorul.
4. Caută semne de compromitere, așa cum recomandă Rapid7: compară sistemele cu indicatorii din buletinul Cisco și verifică jurnalele apelurilor către API-ul de administrare, conturile de administrator și modificările recente de configurație.
5. Verifică backup-urile: asigură-te că copiile de siguranță ale mediului SD-WAN sunt intacte și complete și păstrează o copie separată, la care Manager-ul nu are acces.
6. Dacă găsești urme de acces: tratează evenimentul ca pe un incident, păstrează dovezile înainte de restaurare și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta în Internet și care au vulnerabilități cunoscute, ca să știi dacă interfața Manager-ului poate fi accesată din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale celorlalte dispozitive de rețea într-un colector central, util pentru a căuta accesări anormale în perioada de dinaintea actualizării. ARX Retain păstrează jurnalele pe stocare europeană cu blocarea obiectelor, care împiedică modificarea sau ștergerea lor: urmele colectate rămân disponibile pentru investigație chiar dacă sistemele au fost alterate.

Ultima actualizare: 9 octombrie 2026