Для кого эта статья: организации, которые запускают Cisco Catalyst SD-WAN Manager (ранее vManage) на своих серверах или в своей облачной учетной записи, и партнеры, которые управляют им для них. Управляемая облачная служба Cisco уже исправлена. Эта страница основана на бюллетене безопасности Cisco, NVD и каталоге KEV CISA; в ней нет шагов атаки или кода эксплойта.
Развивается: страница будет обновляться по мере публикации новых сведений
- Кого это касается
организации, которые запускают Cisco Catalyst SD-WAN Manager (ранее vManage) на своих серверах или в своей облачной учетной записи, и партнеры, которые управляют им для них. Управляемая облачная служба Cisco уже исправлена. Эта страница основана на бюллетене безопасности Cisco, NVD и каталоге KEV CISA; в ней нет шагов атаки или кода эксплойта.
- ПодтвержденоСмотреть таблицу ↓
- Затронутые и исправленные выпуски
- Вход не нужен, доступ к API на уровне администратора
- Атаки на практике
Ещё 1
- Облако под управлением Cisco
- Пока не подтверждено
- Сколько систем атаковано или скомпрометировано
- Что делали злоумышленники после получения доступа администратора
- Относится ли название KeyDrift к этой CVE
- Что сделать сейчасСмотреть шаги ↓
- Найдите свои SD-WAN Manager и их выпуски
- Обновитесь до первого исправленного выпуска своей ветки
- Ограничьте, кто может достучаться до интерфейсов управления
Ещё 2
- Проверьте журналы на признаки злоупотребления
- После обновления усильте защиту доступа администраторов
- Где проверить (источник)Все источники ↓
- Cisco, «Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability» (cisco-sa-sdwan-webauth-xr8beuuU, 30 сентября 2026 года; версия 1.1, 2 октября)
- Последняя проверка
- По состоянию на 31 октября 2026 года (JST)
Планы обновлений и что мы проверили
Бюллетень Cisco (версия 1.1, 2 октября) и запись KEV опубликованы. 31 октября мы проверили бюллетень, NVD и ленту KEV CISA (версия 2026.10.30).
Что делать сегодня
Найдите свои SD-WAN Manager и их выпуски
Запишите выпуск программного обеспечения каждого экземпляра SD-WAN Manager, включая резервные и лабораторные кластеры. По словам Cisco, затронуты все конфигурации. Если вы используете Cisco SD-WAN Cloud (Cisco Managed), Cisco сообщает, что действий не требуется; версию можно посмотреть через функцию Help в службе.
Обновитесь до первого исправленного выпуска своей ветки
20.9 — до 20.9.10.1, 20.12 — до 20.12.8.2, 20.15 — до 20.15.6.1, 20.18 — до 20.18.4.1, 26.1 — до 26.1.2.1, 26.2 — до 26.2.1. С выпусков старше 20.9 нужно перейти на исправленный выпуск. Перед началом сверьтесь с матрицами совместимости и обновления Cisco для своих контроллеров и пограничных маршрутизаторов.
Ограничьте, кто может достучаться до интерфейсов управления
Cisco советует блокировать доступ из недоверенных сетей, например из интернета, и разрешать только известные доверенные хосты за межсетевым экраном. Если обновиться сегодня нельзя, сделайте это в первую очередь. Временная защита Live Protect от Cisco дает лишь частичную защиту и может помешать входу легитимных пользователей с URI-кодированием.
Проверьте журналы на признаки злоупотребления
В бюллетене Cisco перечислены файлы журналов и записи для проверки, в том числе входы во встроенные служебные учетные записи системы с незнакомых вам адресов. Сравните их с обычным трафиком, потому что некоторые записи могут появляться и при нормальной работе. Перед открытием обращения в TAC (Severity 3, с CVE-2026-76504 в заголовке) сформируйте файл admin-tech.
После обновления усильте защиту доступа администраторов
Cisco рекомендует сменить пароль администратора по умолчанию, дать каждому администратору собственную учетную запись только с нужным ему доступом, отправлять журналы на внешний сервер и хранить их достаточно долго для последующего расследования. Если вы нашли признаки злоупотребления, проверьте также изменения конфигурации, отправленные на пограничные маршрутизаторы за этот период.
Что было раскрыто
- Продукт
- Cisco Catalyst SD-WAN Manager (ранее vManage), центральная система управления Cisco Catalyst SD-WAN
- Тип
- Обход аутентификации из-за неправильной обработки URI-кодирования в HTTP-запросе (CWE-177)
- Аутентификация
- Не требуется. Результат: доступ к API с привилегиями администратора (Cisco)
- Серьезность
- CVSS v3.1 9,8 (Cisco)
- Затронуты
- Все конфигурации выпусков до указанных ниже исправленных
- Исправлено
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1. Облако под управлением Cisco: 20.15.605 (действий не требуется)
- Обходное решение
- Нет. Мера смягчения: ограничить доступ из недоверенных сетей
- Эксплуатация
- Команда безопасности Cisco узнала об активной эксплуатации в сентябре 2026 года
- KEV
- Добавлено 30 сентября 2026 года; срок — 3 октября. Отмечено для требований CISA по криминалистической сортировке (forensic triage)
1. Найти выпуски
Затронуты все конфигурации
2. Обновить и ограничить
Первый исправленный выпуск; только доверенные хосты
3. Проверить журналы
Признаки из бюллетеня Cisco; при необходимости обращение в TAC
Исправленные выпуски
| Выпуск SD-WAN | Первый исправленный выпуск |
|---|---|
| Старше 20.9 | Перейти на исправленный выпуск |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud (Cisco Managed) | 20.15.605 (применено Cisco) |
Хронология
Сентябрь 2026 года
Команда безопасности Cisco узнает об активной эксплуатации. Cisco сообщает, что уязвимость найдена при решении обращения в поддержку.30 сентября
Cisco публикует бюллетень и исправленные выпуски. CISA добавляет CVE в каталог KEV со сроком 3 октября.2 октября
Cisco обновляет бюллетень (версия 1.1), добавив временную защиту Live Protect.3 октября
Истекает срок KEV для федеральных ведомств США.31 октября
Новых редакций бюллетеня нет; статус NVD Analyzed.
Что известно и что нет
| Пункт | Что говорят источники | Статус |
|---|---|---|
| Затронутые и исправленные выпуски | Все конфигурации; исправленные выпуски по веткам | Подтверждено (Cisco) |
| Вход не нужен, доступ к API на уровне администратора | Указано в бюллетене | Подтверждено (Cisco) |
| Атаки на практике | Cisco в сентябре узнала об активной эксплуатации | Подтверждено (эксплуатация, по данным Cisco) |
| Облако под управлением Cisco | Исправлено в 20.15.605, действий не требуется | Подтверждено (Cisco) |
| Число атакованных систем | Не опубликовано | Не указано |
| Что делали злоумышленники после получения доступа | Не опубликовано | Не указано |
| Название KeyDrift | Cisco и CISA его не используют | Не указано |
Почему это важно для всей сети
SD-WAN Manager задает конфигурацию каждого филиального маршрутизатора, которым управляет. Доступ администратора к нему — это доступ к сетевой архитектуре всей организации, а не одного сервера. Поэтому совет Cisco, помимо обновления, сосредоточен на том, чтобы держать интерфейсы управления вне досягаемости из интернета.
Бюллетень был опубликован вместе с внесением в KEV, когда об атаках уже было известно. Системы, доступные из интернета до 30 сентября, могли быть открыты еще до появления любого исправления, поэтому одно обновление вопрос не закрывает; его закрывает проверка журналов.
Источники
Проверено 31 октября 2026 года (JST).
- Cisco, «Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability» (cisco-sa-sdwan-webauth-xr8beuuU, 30 сентября 2026 года; версия 1.1, 2 октября) — sec.cloudapps.cisco.com
- Cisco, Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD, CVE-2026-76504 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (добавлено 30 сентября 2026 года) — cisa.gov
История обновлений
2026-10-31: Первая версия, основанная на бюллетене Cisco, NVD и каталоге KEV CISA.
Читайте далее
- Эксплуатировались в тот же период: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Еще одна недавняя уязвимость Cisco: Уязвимость VPN в Cisco ASA и FTD CVE-2026-76418
- Защита открытых устройств: Как защитить VPN-устройства и удаленный доступ
- Приоритизация исправлений: Какую CVE закрывать первой (CVSS, EPSS, KEV)
- Термины: Что такое CVSS?