Cisco greinir frá alvarlegum SD-WAN veikleika sem er nýttur í árásum

Cisco ↗ 3.16% greindi á miðvikudaginn frá alvarlegum núll-dags veikleika í Catalyst SD-WAN Manager hugbúnaði sínum sem árásaraðilar nýta virkt til að öðlast stjórnandaaðgang að viðkomandi kerfum án skilríkja.

Veikleikinn, sem skráður er sem CVE-2026-76504, er með 9.8 stig af 10 á CVSS-alvarleikakvarðanum og hefur áhrif á allar útfærslur af Catalyst SD-WAN Manager óháð kerfisstillingu. Cisco sagði að öryggisteymi fyrirtækisins hafi orðið vart við virka misnotkun í september 2026 eftir að veikleikinn kom í ljós við úrlausn stuðningsmáls. Engin önnur lausn er í boði og fyrirtækið hvetur viðskiptavini til að uppfæra í lagfærðar útgáfur tafarlaust.thehackernews+1

Hvernig veikleikinn virkar

Veikleikinn liggur í API-auðkenningarkerfi SD-WAN Manager, sem áður hét SD-WAN vManage. Hugbúnaðurinn meðhöndlar URI-kóðun í HTTP-beiðnum á rangan hátt, sem gerir það að verkum að sérsmíðuð beiðni getur komist framhjá auðkenningarreglu sem á að takmarka aðgang að tilteknum API-endapunkti. Árásaraðili sem nýtir sér veikleikann fær réttindi stjórnanda, sem sjálfgefið hefur netadmin-hlutverkið, það er heimild til að framkvæma allar aðgerðir á tækinu.rapid7+2

"Árásaraðili gæti nýtt sér þennan veikleika með því að senda sérsmíðaða HTTP-beiðni á API viðkomandi kerfis," sagði Cisco í tilkynningu sinni.bleepingcomputer

Fyrirtækið hefur ekki gefið upp hversu margir viðskiptavinir urðu fyrir árásum, hvenær misnotkunin hófst, hverjir stóðu að henni eða hvað árásaraðilar gerðu eftir að hafa komist inn.thehackernews

Lagfæringar og varnir

Cisco gaf út lagfærðan hugbúnað fyrir allar studdar útgáfur. Stofnanir sem keyra útgáfur eldri en 20.9 verða að uppfæra í studda útgáfu. Fyrstu lagfærðu útgáfurnar fyrir núverandi útgáfuferla eru á bilinu 20.9.10.1 til 26.2.1. Skýjaþjónustan, Cisco SD-WAN Cloud, er þegar lagfærð í útgáfu 20.15.605 og krefst ekki aðgerða af hálfu viðskiptavina.news.lavx+1

Þar til staðbundin kerfi hafa verið uppfærð mælir Cisco með því að loka fyrir aðgang frá óöruggum netum og takmarka tengingar við þekkta, trausta gestgjafa á bak við eldvegg. Rapid7 ráðlagði stofnunum að meðhöndla þetta sem neyðaruppfærslu utan hefðbundinna uppfærsluferla.rapid7

Rannsókn á hugsanlegum innbrotum

Cisco deildi vísbendingum um hugsanleg innbrot sem tengjast j_security_check beiðnislóðinni sem notuð er fyrir innskráningar. Stjórnendur ættu að skoða tvær annálaskrár, serviceproxy-access.log og vmanage-server.log, eftir beiðnum frá óþekktum IP-tölum, sérstaklega þeim sem innihalda URI-kóðaða stafi í slóðinni og notendanöfn sem byrja á "viptela-reserved-". Fyrirtækið varaði við því að svipaðar færslur geti birst við eðlilega notkun og verði að meta út frá grunnvirkni hvers umhverfis.news.lavx+2

Athygli vekur að í tilkynningunni kemur ekki fram hvort uppfærsla fjarlægi árásaraðila sem þegar hefur komist inn. Fyrri tilkynningar Cisco um SD-WAN veikleika í maí og júní sögðu viðskiptavinum að uppfærsla ein og sér myndi ekki leysa staðfest innbrot. CVE-2026-76504 er fimmti SD-WAN núll-dags veikleikinn sem nýttur er í árásum á þessu ári og frá og með 30. september innihélt listi CISA yfir þekkta veikleika átta Cisco SD-WAN veikleika sem bætt var við árið 2026.thehackernews+1