Cisco SD-WAN Manager: ocolirea autentificării, deja exploatată

📌 Evoluții ulterioare: Cisco SD-WAN Manager: fără workaround, verifică intruziunile (1 octombrie 2026)

Pe 30 septembrie 2026, Cisco a publicat buletinul de securitate cisco-sa-sdwan-webauth-xr8beuuU pentru CVE-2026-76504, o vulnerabilitate din Cisco Catalyst SD-WAN Manager care permite ocolirea autentificării API. Potrivit producătorului, vulnerabilitatea este deja exploatată activ. În aceeași zi, CISA a inclus-o în catalogul Known Exploited Vulnerabilities (KEV), cu termen până pe 3 octombrie 2026 pentru agențiile federale americane.

În zilele următoare și-au publicat avizele și mai multe CSIRT-uri naționale: NCSC din Țările de Jos (NCSC-2026-0395), NCSC din Finlanda, din cadrul Traficom, CERT-FR al ANSSI (CERTFR-2026-AVI-1246) și Canadian Centre for Cyber Security (AV26-978).

Ce s-a întâmplat

Catalyst SD-WAN Manager este consola centrală din care se configurează și se administrează o rețea SD-WAN Cisco. Buletinul producătorului descrie o vulnerabilitate de ocolire a autentificării API: un atacator de la distanță, fără credențiale, poate obține acces la interfața de administrare.

NCSC din Finlanda clasifică vulnerabilitatea drept critică, cu un scor CVSS 3.1 de 9,8, și explică faptul că permite controlul de la distanță al sistemului cu privilegii de administrator, fără nicio autentificare. CERT-FR rezumă riscul ca ocolire a politicii de securitate și arată că Cisco indică vulnerabilitatea ca exploatată activ.

Detalii tehnice

• CVE: CVE-2026-76504, CVSS 3.1 de 9,8 potrivit NCSC din Finlanda.
• Produs: Cisco Catalyst SD-WAN Manager. Potrivit NCSC din Finlanda, sunt afectate toate instalările cu o versiune necorectată, indiferent de configurație.
• Cauza: potrivit avizului finlandez, defectul constă în tratarea greșită a codificării URI în verificarea autentificării API. O cerere API construită special ocolește regula de autentificare și ajunge la API fără verificările obișnuite. În catalogul KEV, vulnerabilitatea este înregistrată ca „Hex Encoding Vulnerability”.
• Vector: rețea, de la distanță și fără autentificare.
• Efecte descrise: acces la interfața de administrare, privilegii de nivel administrator și control complet asupra mediului SD-WAN.
• Exploatare: confirmată de Cisco. Deocamdată, catalogul KEV nu indică o utilizare cunoscută în campanii ransomware („Unknown”).
• MITRE ATT&CK: când Manager-ul este accesibil din Internet, exploatarea se încadrează în T1190 (Exploit Public-Facing Application).
• Indicatori: Cisco a publicat în buletin indicatori de compromitere, utili pentru a afla dacă un sistem a fost deja compromis.

Versiuni corectate

Corecturile sunt incluse în aceste versiuni și în cele ulterioare:

• 20.9.10.1;
• 20.12.8.2;
• 20.15.6.1;
• 20.18.4.1;
• 26.1.2.1;
• 26.2.1.

Versiunile anterioare lui 20.9 trebuie migrate la o versiune suportată și corectată.

Impactul pentru companiile europene și italiene

O rețea SD-WAN leagă sedii, filiale și centre de date, iar Manager-ul este punctul ei de comandă: cine preia controlul asupra lui cu privilegii de administrator controlează configurația rețelei tuturor sediilor administrate. De aceea, riscul este ridicat mai ales pentru organizațiile cu multe sedii, inclusiv unitățile sanitare cu mai multe locații, unde rețeaua dintre sedii poate asigura și accesul la sistemele clinice.

NCSC din Finlanda subliniază că riscul este deosebit de mare pentru sistemele accesibile direct din Internet sau cu porturi deschise către rețeaua publică.

Pentru entitățile care intră sub incidența NIS2, compromiterea consolei care guvernează rețeaua de arie largă poate deveni un incident care trebuie evaluat pentru notificarea către CSIRT-ul național; în Italia, acesta este CSIRT Italia din cadrul ACN. O vulnerabilitate exploatată și inclusă în KEV este și un caz tipic în care gestionarea vulnerabilităților trebuie să demonstreze priorități și termene de remediere documentate.

Ce să faci acum

1. Identifică instanțele: fă lista tuturor Catalyst SD-WAN Manager, inclusiv a celor de laborator sau de disaster recovery, și verifică versiunea instalată.
2. Actualizează fără să aștepți: adu fiecare instanță la una dintre versiunile corectate indicate sau la una ulterioară. Dacă folosești o versiune anterioară lui 20.9, planifică imediat migrarea la o versiune suportată.
3. Redu expunerea, așa cum recomandă Cisco:
   • elimină accesul direct din Internet la Manager;
   • permite conexiunile de administrare doar de la adrese IP cunoscute;
   • protejează sistemul cu un firewall.
4. Caută semne de compromitere: compară sistemele cu indicatorii publicați în buletinul Cisco și verifică jurnalele mediului, în special apelurile către API-urile de administrare de la adrese neașteptate.
5. Verifică modificările: dacă găsești indicii de acces neautorizat, verifică conturile administrative și modificările recente ale configurației rețelei SD-WAN și tratează evenimentul ca pe un posibil incident.
6. Urmărește jurnalele: continuă să monitorizezi mediul și după actualizare, așa cum recomandă Cisco.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta în Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o interfață de administrare precum cea a SD-WAN Manager este accesibilă din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale celorlalte dispozitive de rețea într-un colector central, astfel încât accesările anormale ale perimetrului rămân în atenția analiștilor. ARX Horizon îți permite să consulți din portal vulnerabilitățile și să cauți indicatori de compromitere.

Ultima actualizare: 1 octombrie 2026