2026-10-31
Cisco Catalyst SD-WAN Manager CVE-2026-76504：無需登入即可取得管理員存取權，已遭利用（請升級至已修補版本）
CVE-2026-76504 是 Cisco Catalyst SD-WAN Manager（舊稱 vManage，Cisco SD-WAN 的管理系統）API 工作階段身分驗證中的一個漏洞。根據 Cisco 於2026年9月30日發布的公告，由於對 HTTP 請求中 URI 編碼的處理不當，未經身分驗證的遠端攻擊者可以繞過一條身分驗證規則，以 admin 使用者的權限存取 API。無論設定為何，該產品都受影響，CVSS 評分為 9.8。Cisco 表示，其資安團隊在2026年9月得知有實際的主動利用。沒有暫時性解決方法；修補方式是升級至您所用版本系列的首個修補版本（20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1 或 26.2.1）。由 Cisco 代管的雲端服務已修補。CISA 於9月30日將其加入 KEV 目錄，期限為10月3日。本站的結論：如果您在本地端執行 SD-WAN Manager，請立即升級，不要讓其管理介面暴露在網際網路上，並依照 Cisco 公告中的檢查項目審查其日誌，因為它可能已暴露了數週。