适用对象：在自己的服务器或自己的云账户中运行 Cisco Catalyst SD-WAN Manager（原 vManage）的组织，以及为其代为管理的合作伙伴。Cisco 托管的云服务已修复。本文基于 Cisco 的安全公告、NVD 和 CISA 的 KEV 目录，不包含攻击步骤或利用代码。
持续更新中：随着更多信息发布，本页面将会更新
- 适用对象
在自己的服务器或自己的云账户中运行 Cisco Catalyst SD-WAN Manager（原 vManage）的组织，以及为其代为管理的合作伙伴。Cisco 托管的云服务已修复。
- 已确认的影响范围查看表格 ↓
- 受影响版本和修复版本
- 无需登录、以管理员级别访问 API
- 在野攻击
另外1项
- Cisco 托管的云
- 尚未确认的事项
- 有多少系统遭到攻击或被入侵
- 攻击者获得管理员访问权限后做了什么
- KeyDrift 这个名称是否指该 CVE
- 现在要做的事查看步骤 ↓
- 找出您的 SD-WAN Manager 及其版本
- 升级到您所用版本系列的首个修复版本
- 限制可以访问管理接口的对象
另外2项
- 审查日志中是否有被滥用的迹象
- 升级后，加强管理员访问的安全性
- 核实来源（出处）全部来源 ↓
- Cisco，"Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability"（cisco-sa-sdwan-webauth-xr8beuuU，2026年9月30日；1.1 版，10月2日）
- 最后核实
- 截至2026年10月31日（日本时间）
续报计划与核实记录
Cisco 的公告（1.1 版，10月2日）和 KEV 条目均已公开。我们在10月31日核对了该公告、NVD 以及 CISA 的 KEV 数据源（版本 2026.10.30）。
今天要做的事
找出您的 SD-WAN Manager 及其版本
记下每个 SD-WAN Manager 实例的软件版本，包括备用集群和实验室集群。Cisco 表示所有配置都受影响。如果您使用 Cisco SD-WAN Cloud（Cisco Managed），Cisco 表示无需采取任何操作；您可以通过该服务中的“帮助”功能查看版本。
升级到您所用版本系列的首个修复版本
20.9 升级到 20.9.10.1，20.12 升级到 20.12.8.2，20.15 升级到 20.15.6.1，20.18 升级到 20.18.4.1，26.1 升级到 26.1.2.1，26.2 升级到 26.2.1。早于 20.9 的版本必须迁移到已修复版本。开始之前，请查看 Cisco 针对您的控制器和边缘路由器的兼容性矩阵和升级矩阵。
限制可以访问管理接口的对象
Cisco 建议阻止来自互联网等不可信网络的访问，只允许已知的可信主机在防火墙之后访问。如果今天无法升级，请先采取这项措施。Cisco 的临时 Live Protect 防护只能提供部分保护，并且可能会导致使用 URI 编码的合法用户无法登录。
审查日志中是否有被滥用的迹象
Cisco 的公告列出了需要检查的日志文件和条目，包括内置系统服务账户从您不认识的地址登录的记录。请将其与您的正常流量进行对比，因为有些条目在正常使用中也会出现。在提交 TAC 案例（Severity 3，标题中写上 CVE-2026-76504）之前，请先生成 admin-tech 文件。
升级后，加强管理员访问的安全性
Cisco 建议更改默认管理员密码，为每位管理员分配只具备其所需权限的独立账户，将日志发送到外部服务器，并保留足够长的时间以便日后调查。如果发现了被滥用的迹象，还请审查在此期间推送到边缘路由器的配置更改。
已披露的内容
- 产品
- Cisco Catalyst SD-WAN Manager（原 vManage），Cisco Catalyst SD-WAN 的集中管理系统
- 类型
- 由于对 HTTP 请求中 URI 编码的处理不当而导致的身份验证绕过（CWE-177）
- 身份验证
- 不需要。结果：以管理员权限访问 API（Cisco）
- 严重程度
- CVSS v3.1 9.8（Cisco）
- 受影响
- 早于下列修复版本的所有配置
- 已修复
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1。Cisco 托管的云：20.15.605（无需操作）
- 临时解决方法
- 无。缓解措施：限制来自不可信网络的访问
- 利用情况
- Cisco 的安全团队在2026年9月获悉了主动利用
- KEV
- 2026年9月30日列入；截止日期10月3日。被标注为适用 CISA 的取证分级要求
1. 找出版本
所有配置都受影响
2. 升级并限制访问
首个修复版本；仅限可信主机
3. 审查日志
按 Cisco 公告中的检查项；必要时提交 TAC 案例
修复版本
| SD-WAN 版本 | 首个修复版本 |
|---|---|
| 早于 20.9 | 迁移到已修复版本 |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud（Cisco Managed） | 20.15.605（由 Cisco 应用） |
时间线
2026年9月
Cisco 的安全团队获悉了主动利用。Cisco 表示，该漏洞是在处理一个支持案例时发现的。9月30日
Cisco 发布公告和修复版本。CISA 将该 CVE 加入 KEV 目录，截止日期为10月3日。10月2日
Cisco 更新公告（1.1 版），加入了临时的 Live Protect 防护。10月3日
美国联邦机构的 KEV 截止日期已过。10月31日
公告没有进一步修订；NVD 状态为 Analyzed。
已知与未知的信息
| 项目 | 来源的说法 | 状态 |
|---|---|---|
| 受影响版本和修复版本 | 所有配置；按版本系列提供修复版本 | 已确认（Cisco） |
| 无需登录、以管理员级别访问 API | 公告中写明 | 已确认（Cisco） |
| 在野攻击 | Cisco 在9月获悉了主动利用 | 已确认被滥用（Cisco） |
| Cisco 托管的云 | 已在 20.15.605 中修复，无需操作 | 已确认（Cisco） |
| 遭到攻击的系统数量 | 未公布 | 未说明 |
| 攻击者获得访问权限后做了什么 | 未公布 | 未说明 |
| KeyDrift 这个名称 | Cisco 和 CISA 都没有使用 | 未说明 |
为什么这个漏洞关系到整个网络
SD-WAN Manager 负责为其控制的每台分支路由器设置配置。获得它的管理员访问权限，就等于获得了整个组织网络设计的访问权限，而不只是一台服务器。这就是为什么除了升级之外，Cisco 的建议还集中在让管理接口远离互联网。
该公告是在攻击已为人所知之后，与 KEV 列入同时发布的。在9月30日之前可从互联网访问的系统，可能在修复出现之前就已经暴露，因此仅靠升级并不能解决问题；需要通过日志审查来确认。
信息来源
于2026年10月31日（日本时间）核实。
- Cisco，"Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability"（cisco-sa-sdwan-webauth-xr8beuuU，2026年9月30日；1.1 版，10月2日） — sec.cloudapps.cisco.com
- Cisco，Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD，CVE-2026-76504 — nvd.nist.gov
- CISA，Known Exploited Vulnerabilities Catalog（2026年9月30日列入） — cisa.gov
更新记录
2026-10-31：首版，基于 Cisco 的公告、NVD 和 CISA 的 KEV 目录。
延伸阅读
- 同一时期被利用：2026年10月中旬被利用的边缘设备漏洞
- 近期另一个 Cisco 漏洞：Cisco ASA 和 FTD 的 VPN 漏洞 CVE-2026-76418
- 防御暴露的设备：如何防御 VPN 设备和远程访问
- 确定修复优先级：如何决定先修复哪些 CVE（CVSS、EPSS、KEV）
- 术语：什么是 CVSS？