Cisco har publicerat en kritisk säkerhetsbulletin för Catalyst SD-WAN Manager och bekräftar att CVE-2026-76504 utnyttjas aktivt. CISA lade samma dag, den 30 september, in sårbarheten i Known Exploited Vulnerabilities-katalogen. För driftansvariga är kombinationen viktig: felet kan ge en oautentiserad fjärrangripare åtkomst till administrations-API:t med administratörsrättigheter, och korrigerade versioner finns redan tillgängliga. Organisationer med en egen Manager-installation bör omedelbart kontrollera version, exponering och loggar.
Felet sitter i kontrollplanet
Cisco beskriver problemet som en brist i hur den sessionsbaserade autentiseringen för Catalyst SD-WAN Managers API hanterar kodning i en HTTP-förfrågan. Följden kan bli att en autentiseringsregel för ett skyddat API-gränssnitt kringgås. Ett lyckat angrepp kan ge administrativ åtkomst till Manager utan föregående inloggning. Den publika bulletinen anger inte vilka ändringar en angripare faktiskt har gjort i observerade miljöer; det går därför inte att anta ett visst intrångsförlopp för en enskild installation.
Manager är en central administrationskomponent i SD-WAN-miljön. Administrativ åtkomst till den kan påverka säkerhet och drift i större delar av nätverket än den enskilda servern. Den konkreta följden beror på behörigheter, nätsegmentering, aktuell konfiguration och vad en obehörig aktör hunnit göra. Därför behöver en patch kompletteras med en bedömning av möjlig tidigare åtkomst, särskilt om administrationsytan varit nåbar från internet.
Ciscos bulletin är märkt Critical och ger CVSS 3.1 9,8. Det är leverantörens officiella allvarlighetsgrad och poäng. LabOps IT klassar den praktiska åtgärdsprioriteten som Akut för berörda installationer: aktiv exploatering är bekräftad av Cisco, CISA har lagt in CVE-numret i KEV och angreppet kräver enligt Cisco varken autentisering eller användarinteraktion. Poängen är ett underlag, men det är dessa verifierade omständigheter som driver prioriteringen.
Cisco publicerade bulletinens första version den 30 september klockan 13.00 GMT. Versionshistoriken visar fortfarande version 1.0 från samma dag. Ciscos PSIRT anger att man fick kännedom om aktiv exploatering under september 2026; den exakta första angreppsdagen framgår inte. CVE-registret publicerade posten den 30 september och visar en uppdatering den 1 oktober. Någon offentlig och fungerande proof of concept har inte verifierats i källorna för denna artikel. Det påverkar inte slutsatsen om aktiv exploatering, som bygger på Ciscos uppgift och CISA:s KEV-post.
Vilka versioner ska uppdateras?
Cisco anger att Catalyst SD-WAN Manager berörs oavsett systemkonfiguration. De första korrigerade versionerna per underhållsgren är 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 och 26.2.1. Installationer före 20.9 behöver migrera till en korrigerad gren. Jämför den faktiskt installerade versionen med rätt gren i Ciscos tabell; anta inte att en högre huvudversion automatiskt är korrigerad om den ligger före grenens angivna rättning.
För Cisco SD-WAN Cloud, där Cisco hanterar tjänsten, anger bulletinen att felet är åtgärdat i version 20.15.605 och att ingen kundåtgärd krävs för själva uppdateringen. Kunder kan enligt Cisco kontrollera versions- eller åtgärdsstatus i tjänstens gränssnitt och kontakta TAC vid osäkerhet. Den uppgiften gäller den Cisco-hanterade molntjänsten och ska inte användas som skäl att vänta med en egen lokal Manager-installation.
Cisco erbjuder ingen workaround som löser sårbarheten. För lokalt driftade miljöer rekommenderar leverantören som tillfällig riskminskning att åtkomst från osäkra nät begränsas och att endast betrodda värdar får nå nödvändiga portar och protokoll. Filtrering kan minska angreppsytan, men är inte likvärdig med en korrigerad version. Cisco påpekar också att en sådan begränsning kan påverka nätets funktion och behöver provas mot den egna topologin. I Cisco-hanterade molnmiljöer uppger Cisco att motsvarande åtkomstbegränsning redan används.
Gör inventering, logggranskning och uppgradering tillsammans
Inventera först alla instanser av Catalyst SD-WAN Manager, deras versioner, driftform och vilka nät som kan nå administrationsgränssnittet. Kontrollera även externa åtkomstvägar via brandväggar, fjärradministration och mellansystem. Internetexponering höjer den omedelbara risken, men en intern installation med bred åtkomst kan fortfarande vara relevant att granska. Dokumentera vilka instanser som redan kör en korrigerad version och vilka som kräver ändringsfönster.
Bevara relevanta loggar innan de roteras eller försvinner. Cisco pekar särskilt ut Manager-loggar för åtkomst till den berörda autentiseringsfunktionen från okända eller obehöriga adresser samt ovanlig aktivitet kring systemkonton. Den som granskar behöver jämföra träffar med normal drift, eftersom Cisco uttryckligen varnar för möjliga falska positiva indikatorer. Vid misstänkt kompromettering bör incidentrutinen aktiveras och Cisco TAC kontaktas. Ciscos bulletin beskriver vilket tekniskt underlag TAC kan använda vid utredningen.
Planera därefter en uppgradering till en av de korrigerade versionerna. Ciscos uppgraderingsmatris används för att fastställa stödd väg, förutsättningar och eventuell stegvis uppgradering mellan versioner. Kontrollera också kompatibiliteten mellan kontrollkomponenter och anslutna enheter. I ett produktionsnät kan ett versionsbyte innebära underhållsfönster, omstarter av kontrollkomponenter och tillfällig påverkan på administrations- eller styrfunktioner. Den exakta driftpåverkan måste bedömas mot aktuell topologi och redundans; den framgår inte generellt av sårbarhetsbulletinen.
Efter uppgraderingen bör driftgruppen verifiera körande version, kontrollplansfunktioner, enhetsanslutningar och logginsamling. Ta särskilt hand om instanser som står kvar på äldre grenar eller där planerad uppgradering fastnar på beroenden. En tillfällig åtkomstregel bör följas upp så att den både ger avsedd riskminskning och inte bryter legitima beroenden. Avveckla inte incidentgranskningen bara för att ny programvara installerats; en patch undanröjer inte automatiskt följderna av tidigare obehörig åtkomst.
LabOps IT:s bedömning
Detta är en av de mest handlingskrävande nätverksbulletinerna i den aktuella bevakningen. Den berör ett centralt kontrollplan, har bekräftad aktiv exploatering och ger enligt Cisco möjlighet till administrativ API-åtkomst utan autentisering. För internetnåbara och andra brett åtkomliga Manager-installationer bör versionskontroll, loggbevarande och riskbegränsning starta omedelbart, samtidigt som korrigerad version planeras och distribueras skyndsamt.
Det finns ännu begränsad offentlig information om omfattning, angripare och första observerade exploatering. Artikeln ska därför inte läsas som en beskrivning av en universell angreppskedja eller som bevis för att en viss installation redan är komprometterad. Den tydliga driftåtgärden är ändå verifierbar: använd Ciscos versionsmatris och korrigerade releaser, begränsa onödig åtkomst där det är möjligt, och undersök miljöer som kan ha varit exponerade före uppdateringen.