Para: organizações que rodam o Cisco Catalyst SD-WAN Manager (antigo vManage) em servidores próprios ou na própria conta de nuvem, e os parceiros que o gerenciam para elas. O serviço em nuvem gerenciado pela Cisco já está corrigido. Esta página se baseia no aviso de segurança da Cisco, no NVD e no catálogo KEV da CISA; não contém passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
- Quem é afetado
organizações que rodam o Cisco Catalyst SD-WAN Manager (antigo vManage) em servidores próprios ou na própria conta de nuvem, e os parceiros que o gerenciam para elas. O serviço em nuvem gerenciado pela Cisco já está corrigido.
- Confirmado até agoraVer a tabela ↓
- Versões afetadas e corrigidas
- Sem login, acesso à API como administrador
- Ataques reais
Mais 1
- Nuvem gerenciada pela Cisco
- Ainda não confirmado
- Quantos sistemas foram atacados ou comprometidos
- O que os invasores fizeram depois de obter acesso de administrador
- Se o nome KeyDrift se refere a esta CVE
- O que fazer agoraVer os passos ↓
- Localize o seu SD-WAN Manager e a versão
- Atualize para a primeira versão corrigida do seu ramo
- Restrinja quem pode alcançar as interfaces de gerenciamento
Mais 2
- Revise os logs em busca de abuso
- Depois da atualização, reforce o acesso administrativo
- Onde verificar (fonte)Todas as fontes ↓
- Cisco, "Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability" (cisco-sa-sdwan-webauth-xr8beuuU, 30 de setembro de 2026; versão 1.1, 2 de outubro)
- Última verificação
- Em 31 de outubro de 2026 (JST)
Próximos avisos e o que verificamos
O aviso da Cisco (versão 1.1, 2 de outubro) e a entrada no KEV são públicos. Consultamos o aviso, o NVD e o feed KEV da CISA (versão 2026.10.30) em 31 de outubro.
O que fazer hoje
Localize o seu SD-WAN Manager e a versão
Anote a versão de software de cada instância do SD-WAN Manager, incluindo clusters de reserva e de laboratório. A Cisco diz que todas as configurações são afetadas. Se você usa o Cisco SD-WAN Cloud (Cisco Managed), a Cisco diz que nenhuma ação é necessária; você pode ver a versão pela função de ajuda do serviço.
Atualize para a primeira versão corrigida do seu ramo
20.9 para 20.9.10.1, 20.12 para 20.12.8.2, 20.15 para 20.15.6.1, 20.18 para 20.18.4.1, 26.1 para 26.1.2.1, 26.2 para 26.2.1. Versões anteriores a 20.9 precisam migrar para uma versão corrigida. Antes de começar, confira as matrizes de compatibilidade e atualização da Cisco para seus controladores e roteadores de borda.
Restrinja quem pode alcançar as interfaces de gerenciamento
A Cisco recomenda bloquear o acesso a partir de redes não confiáveis, como a internet, e permitir apenas hosts conhecidos e confiáveis, atrás de um firewall. Se não puder atualizar hoje, faça isso primeiro. A proteção temporária Live Protect da Cisco oferece apenas proteção parcial e pode impedir o login de usuários legítimos que usam codificação URI.
Revise os logs em busca de abuso
O aviso da Cisco lista os arquivos de log e as entradas a verificar, incluindo logins de contas de serviço internas do sistema a partir de endereços que você não reconhece. Compare-os com seu tráfego normal, porque algumas entradas podem aparecer no uso normal. Gere um arquivo admin-tech antes de abrir um caso no TAC (severidade 3, com CVE-2026-76504 no título).
Depois da atualização, reforce o acesso administrativo
A Cisco recomenda trocar a senha padrão do administrador, dar a cada administrador sua própria conta com apenas o acesso necessário, enviar os logs para um servidor externo e mantê-los por tempo suficiente para investigar depois. Se encontrou sinais de abuso, revise também as mudanças de configuração enviadas aos seus roteadores de borda nesse período.
O que foi divulgado
- Produto
- Cisco Catalyst SD-WAN Manager (antigo vManage), o sistema central de gerenciamento do Cisco Catalyst SD-WAN
- Tipo
- Bypass de autenticação causado pelo tratamento incorreto da codificação URI em uma solicitação HTTP (CWE-177)
- Autenticação
- Não necessária. Resultado: acesso à API com privilégios de administrador (Cisco)
- Gravidade
- CVSS v3.1 9.8 (Cisco)
- Afetadas
- Todas as configurações das versões anteriores às versões corrigidas abaixo
- Corrigidas
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1. Nuvem gerenciada pela Cisco: 20.15.605 (nenhuma ação necessária)
- Solução alternativa
- Nenhuma. Mitigação: restringir o acesso a partir de redes não confiáveis
- Exploração
- A equipe de segurança da Cisco tomou conhecimento de exploração ativa em setembro de 2026
- KEV
- Adicionada em 30 de setembro de 2026; prazo: 3 de outubro. Marcada para os requisitos de triagem forense da CISA
1. Localizar versões
Todas as configurações são afetadas
2. Atualizar e restringir
Primeira versão corrigida; apenas hosts confiáveis
3. Revisar logs
Verificações do aviso da Cisco; caso no TAC se necessário
Versões corrigidas
| Versão do SD-WAN | Primeira versão corrigida |
|---|---|
| Anterior a 20.9 | Migrar para uma versão corrigida |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud (Cisco Managed) | 20.15.605 (aplicada pela Cisco) |
Linha do tempo
Setembro de 2026
A equipe de segurança da Cisco toma conhecimento de exploração ativa. A Cisco diz que a falha foi encontrada durante a resolução de um caso de suporte.30 de setembro
A Cisco publica o aviso e as versões corrigidas. A CISA adiciona a CVE ao catálogo KEV com prazo de 3 de outubro.2 de outubro
A Cisco atualiza o aviso (versão 1.1) com a proteção temporária Live Protect.3 de outubro
Vence o prazo do KEV para as agências federais dos EUA.31 de outubro
Nenhuma nova revisão do aviso; situação no NVD: Analyzed.
O que se sabe e o que não se sabe
| Item | O que as fontes dizem | Situação |
|---|---|---|
| Versões afetadas e corrigidas | Todas as configurações; versões corrigidas por ramo | Confirmado (Cisco) |
| Sem login, acesso à API como administrador | Declarado no aviso | Confirmado (Cisco) |
| Ataques reais | Cisco tomou conhecimento de exploração ativa em setembro | Abuso confirmado (Cisco) |
| Nuvem gerenciada pela Cisco | Corrigida na 20.15.605, nenhuma ação necessária | Confirmado (Cisco) |
| Número de sistemas atacados | Não publicado | Não informado |
| O que os invasores fizeram após o acesso | Não publicado | Não informado |
| O nome KeyDrift | Não usado pela Cisco nem pela CISA | Não informado |
Por que esta afeta a rede inteira
O SD-WAN Manager define a configuração de cada roteador de filial que controla. Acesso de administrador a ele é acesso ao desenho de rede da organização inteira, não só a um servidor. Por isso, além da atualização, a orientação da Cisco se concentra em manter as interfaces de gerenciamento longe da internet.
O aviso foi publicado junto com a inclusão no KEV, quando ataques já eram conhecidos. Sistemas acessíveis pela internet antes de 30 de setembro podem ter ficado expostos antes de existir qualquer correção, então a atualização sozinha não resolve a questão; a revisão dos logs, sim.
Fontes
Consultadas em 31 de outubro de 2026 (JST).
- Cisco, "Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability" (cisco-sa-sdwan-webauth-xr8beuuU, 30 de setembro de 2026; versão 1.1, 2 de outubro) — sec.cloudapps.cisco.com
- Cisco, Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD, CVE-2026-76504 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (adicionada em 30 de setembro de 2026) — cisa.gov
Histórico de atualizações
2026-10-31: Primeira versão, com base no aviso da Cisco, no NVD e no catálogo KEV da CISA.
Leia a seguir
- Exploradas no mesmo período: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Outra falha recente da Cisco: Falha de VPN do Cisco ASA e FTD CVE-2026-76418
- Defender dispositivos expostos: Como defender dispositivos VPN e o acesso remoto
- Priorizar correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Termos: O que é CVSS?