適用對象：在自己的伺服器或自己的雲端帳戶中執行 Cisco Catalyst SD-WAN Manager（舊稱 vManage）的組織，以及代為管理的合作夥伴。Cisco 代管的雲端服務已修補。本文根據 Cisco 的資安公告、NVD 與 CISA 的 KEV 目錄撰寫，不包含攻擊步驟或利用程式碼。
進行中：隨著更多資訊公布，本頁將持續更新
- 適用對象
在自己的伺服器或自己的雲端帳戶中執行 Cisco Catalyst SD-WAN Manager（舊稱 vManage）的組織，以及代為管理的合作夥伴。Cisco 代管的雲端服務已修補。
- 已確認的影響範圍查看表格 ↓
- 受影響版本與修補版本
- 無需登入、以管理員層級存取 API
- 實際攻擊
另外1項
- Cisco 代管的雲端
- 尚未確認的事項
- 有多少系統遭到攻擊或入侵
- 攻擊者取得管理員存取權後做了什麼
- KeyDrift 這個名稱是否指該 CVE
- 現在要做的事查看步驟 ↓
- 找出您的 SD-WAN Manager 及其版本
- 升級至您所用版本系列的首個修補版本
- 限制可以連到管理介面的對象
另外2項
- 審查日誌中是否有遭濫用的跡象
- 升級後，強化管理員存取的安全性
- 查證來源（出處）全部來源 ↓
- Cisco，"Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability"（cisco-sa-sdwan-webauth-xr8beuuU，2026年9月30日；1.1 版，10月2日）
- 最後查證
- 截至2026年10月31日（日本時間）
續報計畫與查證紀錄
Cisco 的公告（1.1 版，10月2日）與 KEV 條目均已公開。我們在10月31日核對了該公告、NVD 以及 CISA 的 KEV 資料來源（版本 2026.10.30）。
今天要做的事
找出您的 SD-WAN Manager 及其版本
記下每個 SD-WAN Manager 執行個體的軟體版本，包括備援叢集與實驗室叢集。Cisco 表示所有設定都受影響。如果您使用 Cisco SD-WAN Cloud（Cisco Managed），Cisco 表示無需採取任何動作；您可以透過該服務中的「說明」功能查看版本。
升級至您所用版本系列的首個修補版本
20.9 升級至 20.9.10.1，20.12 升級至 20.12.8.2，20.15 升級至 20.15.6.1，20.18 升級至 20.18.4.1，26.1 升級至 26.1.2.1，26.2 升級至 26.2.1。早於 20.9 的版本必須移轉至已修補版本。開始之前，請查看 Cisco 針對您的控制器與邊緣路由器的相容性矩陣與升級矩陣。
限制可以連到管理介面的對象
Cisco 建議封鎖來自網際網路等不受信任網路的存取，只允許已知、受信任的主機在防火牆後方連線。如果今天無法升級，請先採取這項措施。Cisco 的暫時性 Live Protect 防護只能提供部分保護，且可能導致使用 URI 編碼的合法使用者無法登入。
審查日誌中是否有遭濫用的跡象
Cisco 的公告列出了需要檢查的日誌檔案與條目，包括內建系統服務帳戶從您不認得的位址登入的紀錄。請將其與您的正常流量比對，因為有些條目在正常使用中也會出現。在開立 TAC 案件（Severity 3，標題中寫上 CVE-2026-76504）之前，請先產生 admin-tech 檔案。
升級後，強化管理員存取的安全性
Cisco 建議變更預設管理員密碼，為每位管理員提供只具備其所需權限的個別帳戶，將日誌傳送至外部伺服器，並保留足夠長的時間以便日後調查。如果發現了遭濫用的跡象，也請審查在此期間推送至邊緣路由器的設定變更。
已揭露的內容
- 產品
- Cisco Catalyst SD-WAN Manager（舊稱 vManage），Cisco Catalyst SD-WAN 的集中管理系統
- 類型
- 由於對 HTTP 請求中 URI 編碼的處理不當而導致的身分驗證繞過（CWE-177）
- 身分驗證
- 不需要。結果：以管理員權限存取 API（Cisco）
- 嚴重程度
- CVSS v3.1 9.8（Cisco）
- 受影響
- 早於下列修補版本的所有設定
- 已修補
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1。Cisco 代管的雲端：20.15.605（無需動作）
- 暫時性解決方法
- 無。緩解措施：限制來自不受信任網路的存取
- 遭利用情形
- Cisco 的資安團隊在2026年9月得知有主動利用
- KEV
- 2026年9月30日列入；期限10月3日。被標示為適用 CISA 的鑑識分級要求
1. 找出版本
所有設定都受影響
2. 升級並限制存取
首個修補版本；僅限受信任的主機
3. 審查日誌
依 Cisco 公告中的檢查項目；必要時開立 TAC 案件
修補版本
| SD-WAN 版本 | 首個修補版本 |
|---|---|
| 早於 20.9 | 移轉至已修補版本 |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud（Cisco Managed） | 20.15.605（由 Cisco 套用） |
時間軸
2026年9月
Cisco 的資安團隊得知有主動利用。Cisco 表示，該漏洞是在處理一件支援案件時發現的。9月30日
Cisco 發布公告與修補版本。CISA 將該 CVE 加入 KEV 目錄，期限為10月3日。10月2日
Cisco 更新公告（1.1 版），加入暫時性的 Live Protect 防護。10月3日
美國聯邦機關的 KEV 期限已過。10月31日
公告沒有進一步修訂；NVD 狀態為 Analyzed。
已知與未知的資訊
| 項目 | 來源的說法 | 狀態 |
|---|---|---|
| 受影響版本與修補版本 | 所有設定；依版本系列提供修補版本 | 已確認（Cisco） |
| 無需登入、以管理員層級存取 API | 公告中寫明 | 已確認（Cisco） |
| 實際攻擊 | Cisco 在9月得知有主動利用 | 已確認被濫用（Cisco） |
| Cisco 代管的雲端 | 已在 20.15.605 中修補，無需動作 | 已確認（Cisco） |
| 遭攻擊的系統數量 | 未公布 | 未說明 |
| 攻擊者取得存取權後做了什麼 | 未公布 | 未說明 |
| KeyDrift 這個名稱 | Cisco 與 CISA 都未使用 | 未說明 |
為什麼這個漏洞關係到整個網路
SD-WAN Manager 負責為其控制的每台分支路由器設定組態。取得它的管理員存取權，就等於取得整個組織網路設計的存取權，而不只是一台伺服器。這就是為什麼除了升級之外，Cisco 的建議也集中在讓管理介面遠離網際網路。
該公告是在攻擊已為人所知之後，與 KEV 列入同時發布的。在9月30日之前可從網際網路存取的系統，可能在修補出現之前就已暴露，因此光靠升級並不能解決問題；需要透過日誌審查來確認。
資料來源
於2026年10月31日（日本時間）查證。
- Cisco，"Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability"（cisco-sa-sdwan-webauth-xr8beuuU，2026年9月30日；1.1 版，10月2日） — sec.cloudapps.cisco.com
- Cisco，Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD，CVE-2026-76504 — nvd.nist.gov
- CISA，Known Exploited Vulnerabilities Catalog（2026年9月30日列入） — cisa.gov
更新紀錄
2026-10-31：首版，根據 Cisco 的公告、NVD 與 CISA 的 KEV 目錄。
延伸閱讀
- 同一時期遭利用：2026 年 10 月中旬遭利用的邊緣設備漏洞
- 近期另一個 Cisco 漏洞：Cisco ASA 與 FTD 的 VPN 漏洞 CVE-2026-76418
- 防護暴露的設備：如何防護 VPN 設備與遠端存取
- 決定修補優先順序：如何決定先修補哪些 CVE（CVSS、EPSS、KEV）
- 術語：什麼是 CVSS？