Cisco выпустила обновления для устранения критической 0-day в Catalyst SD-WAN Manager (отслеживаемой как CVE-2026-76504), которую злоумышленники активно используют для повышения своих привилегий до уровня администратора.

Ранее известное как SD-WAN vManage, ПО Catalyst SD-WAN Manager позволяет администраторам отслеживать и управлять до 6000 устройствами SD-WAN с единой панели управления.

Как сообщается, в сентябре Cisco PSIRT обнаружила активную эксплуатацию этой CVE-2026-76504.

Она затрагивает все развертывания независимо от конфигурации системы, связана с управлением аутентификацией на основе сессий API и позволяет неаутентифицированным злоумышленникам удаленно получать доступ к уязвимым системам с правами администратора.

Уязвимость обусловлена некорректной обработкой кодировки URI в HTTP-запросе, что позволяет запросу обходить правило аутентификации, предназначенное для ограничения доступа к определенной конечной точке API.

Злоумышленник может использовать эту уязвимость, отправив специально сформированный HTTP-запрос к API уязвимой системы.

Так или иначе, Cisco пока не предоставила дополнительных подробностей об атаках с использованием CVE-2026-76504, но поделилась IOCs, отмечая, что злоумышленники используют %6a в качестве закодированного в URI символа "j" в вредоносных запросах.

Также рекомендуется проверять serviceproxy-access.log, расположенный в /var/log/nms/containers/service-proxy, и vmanage-server.log в каталоге /var/log/nms/ на наличие записей, связанных с j_security_check, от неизвестных или неавторизованных IP.

Для определения того, был ли скомпрометирован Cisco Catalyst SD-WAN Manager, клиенты могут обратиться в службу технической поддержки Cisco (TAC) и предоставить необходимые файлы для проведения проверки.

Таким образом, CVE-2026-76504 - это уже пятая 0-day в SD-WAN, активно используемая злоумышленниками с начала года. Сегодня CISA добавило ее в свой каталог KEV.

Вообще же с ноября 2021 года в реестре CISA 90 уязвимостей Cisco, которые были использованы злоумышленниками, в том числе четыре в Cisco Catalyst SD-WAN Manager, включая семь, используемых бандами вымогателей.