Cisco cảnh báo lỗ hổng bỏ qua xác thực trong SD-WAN Manager đang bị khai thác
"Cisco reported active exploitation of CVE-2026-76504, a critical authentication bypass in Cisco Catalyst SD-WAN Manager that lets a remote unauthenticated attacker use the Manager API as the admin user by abusing URI encoding in a login-session-related request. The issue has a CVSS score of 9.8, no workaround is available, and Cisco released fixed versions for affected release trains while advising customers to restrict exposure of the Manager and review logs for signs of compromise."
Rủi ro rất cao do bỏ qua xác thực từ xa, có thể dẫn tới quyền admin trên SD-WAN Manager và ảnh hưởng trực tiếp đến hạ tầng mạng.
Có thể gây gián đoạn quản trị, thay đổi cấu hình trái phép và ảnh hưởng đến tính sẵn sàng của hệ thống SD-WAN; ưu tiên nâng cấp bản vá và kiểm tra log sớm.
Cisco cho biết đang ghi nhận hoạt động khai thác thực tế đối với CVE-2026-76504 trong Cisco Catalyst SD-WAN Manager. Đây là lỗ hổng authentication bypass nghiêm trọng, cho phép kẻ tấn công từ xa, không cần đăng nhập, sử dụng Manager API như người dùng admin bằng cách lợi dụng lỗi URI encoding trong một yêu cầu liên quan đến phiên đăng nhập. Lỗ hổng có CVSS 9.8/10 và hiện không có biện pháp khắc phục tạm thời.
Cisco đã phát hành các bản vá cho từng nhánh phát hành bị ảnh hưởng, đồng thời khuyến nghị quản trị viên hạn chế phơi bày Manager ra Internet, chỉ cho phép các host tin cậy truy cập nếu bắt buộc phải mở từ xa, và đặt các thành phần điều khiển sau firewall. Với môi trường on-premises, các cổng quản trị như 443, 22 và 830 không nên được công khai trực tiếp.
Để kiểm tra dấu hiệu xâm nhập, Cisco khuyến nghị rà soát /var/log/nms/containers/service-proxy/serviceproxy-access.log và /var/log/nms/vmanage-server.log để tìm các yêu cầu bất thường tới j_security_check hoặc các tài khoản có tiền tố viptela-reserved-. Nếu nghi ngờ bị ảnh hưởng, nên mở case với Cisco TAC và thu thập admin-tech trước khi nâng cấp.