2026-10-31
Cisco Catalyst SD-WAN Managerの脆弱性 CVE-2026-76504：ログインなしで管理者として操作される、悪用を確認（修正版へ更新）
CVE-2026-76504は、CiscoのSD-WANを一元管理するCisco Catalyst SD-WAN Manager（旧vManage）のAPIのセッション認証の脆弱性。2026年9月30日のCiscoの勧告によると、HTTPリクエストのURIエンコードの扱いに不備があり、遠隔の攻撃者が認証なしで認証のルールをすり抜け、管理者ユーザーの権限でAPIに入れる。設定に関係なく対象で、CVSSは9.8。Ciscoは、2026年9月に悪用を把握したとしている。回避策はなく、系列ごとの最初の修正版（20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1、26.2.1）へ上げるのが対策。Ciscoが運用するクラウドの提供は修正済み。米CISAは9月30日にKEVに追加し、期限は10月3日だった。当サイトの結論：SD-WAN Managerを自社で運用しているなら、今すぐ修正版へ上げ、管理用の接続口をインターネットから外し、数週間さらされていた可能性があるので、Ciscoの勧告の点検項目でログを確かめる。