Cisco SD-WAN CVE-2026-76504 je tema proverena prema zvaničnom primarnom izvoru; u nastavku odvajamo potvrđene činjenice od procene posledica.
Cisco je objavio kritično upozorenje za Catalyst SD-WAN Manager.
CVE-2026-76504 omogućava neautentifikovanom udaljenom napadaču da zaobiđe pravilo prijave i pristupi pogođenom sistemu sa privilegijama administratora. Cisco je propustu dodelio osnovnu CVSS ocenu 9,8, a CISA ga je 1. oktobra dodala u katalog poznato iskorišćavanih ranjivosti. To znači da organizacije ne treba da čekaju redovni prozor održavanja ako imaju izložen sistem.
Uzrok je nepravilna obrada URI kodiranja u HTTP zahtevu. Posebno oblikovan zahtev može da zaobiđe autentifikaciono pravilo za API endpoint. Napad ne zahteva prethodni nalog niti interakciju korisnika. Pogođen je Catalyst SD-WAN Manager bez obzira na konfiguraciju, dok tačan rizik zavisi od verzije i mrežne izloženosti kontrolne komponente.
Koje verzije imaju ispravku
Cisco navodi prve bezbedne verzije po granama: 20.9.10.1 za 20.9, 20.12.8.2 za 20.12, 20.15.6.1 za 20.15, 20.18.4.1 za 20.18, 26.1.2.1 za 26.1 i 26.2.1 za 26.2. Starija izdanja od 20.9 treba migrirati na podržanu granu sa ispravkom. Cloud-hosted izdanje 20.15.605 je već rešeno.
Lista ne znači da treba nasumično instalirati paket bez provere kompatibilnosti. Administratori moraju da koriste Cisco matricu nadogradnje, provere kontrolere i WAN edge uređaje, naprave rezervnu kopiju konfiguracije i plan povratka. Ipak, zbog aktivnog iskorišćavanja, priprema treba da bude ubrzana i praćena privremenim smanjenjem izloženosti sistema.
Ne propustite ovo
Tragovi koje treba proveriti
Cisco preporučuje pregled datoteke serviceproxy-access.log za pozive ka j_security_check sa nepoznatih adresa, naročito kada zahtev koristi kodirani znak kao %6a. U vmanage-server.log treba tražiti pozive vezane za korisnike čija imena počinju sa viptela-reserved-. Ti obrasci mogu nastati i tokom legitimnih operacija, pa sami nisu konačan dokaz proboja.
Logove treba uporediti sa poznatim administratorskim adresama, vremenom promena i drugim događajima identiteta. Ako postoji sumnja, sačuvajte originalne zapise, izvezite admin-tech paket i otvorite Cisco TAC slučaj sa CVE oznakom u naslovu. Nemojte prvo brisati logove ili resetovati sistem, jer time možete ukloniti važne tragove za istragu.
Privremeno smanjenje rizika
Cisco navodi da nema workarounda koji uklanja samu ranjivost. Za on-premises okruženja preporučuje ograničavanje pristupa iz nepouzdanih mreža, filtriranje saobraćaja i dozvolu samo poznatim hostovima. Kontrolne komponente treba staviti iza zaštitnog uređaja i izbegavati direktnu dostupnost sa interneta. To je ublažavanje, ne zamena za nadogradnju.
Promena administratorske lozinke sama ne zatvara propust, jer napad zaobilazi autentifikaciju. Ipak, posle incidentne provere treba rotirati kredencijale, pregledati privilegovane naloge i opozvati sumnjive sesije. Dnevnike je korisno slati na spoljašnji server kako ih napadač sa administratorskim pristupom ne bi lako izmenio na samom Manageru.
Za širi kontekst aktivnog iskorišćavanja pročitajte SajberSferin tekst o Check Point VPN propustu. Zajednička pouka je da uređaj na ivici mreže nije običan server: njegov kompromis napadaču može otvoriti pogled na topologiju, politike i tokove između lokacija.
Redosled hitnih koraka
Prvo utvrdite sve instance i verzije. Zatim uklonite nepotrebnu internet izloženost, sačuvajte i pregledajte logove, proverite IOC obrasce i pripremite podržanu nadogradnju. Posle instalacije proverite zdravlje klastera, kontrolne veze i audit evidenciju. Ako se pronađe sumnjiva aktivnost, tretirajte slučaj kao moguću kompromitaciju privilegovanog upravljačkog sistema.
Ne propustite ovo
Najopasnija greška je zaključiti da firewall sam rešava problem ili da odsustvo jednog poznatog IOC-a znači da napada nije bilo. Cisco upozorenje je precizno: privremene mere smanjuju površinu, ali fiksna verzija je konačna remedijacija. Organizacije sa izloženim Managerom treba da daju ovom poslu najviši prioritet.
Šta Cisco SD-WAN CVE-2026-76504 znači u praksi
Rizik je naročito visok zato što napadač ne mora prethodno da poseduje legitimne kredencijale. Organizacije treba da popišu izložene kontrolne komponente, potvrde tačnu verziju, ograniče upravljački pristup i sačuvaju dnevnike za moguću forenzičku proveru. Zato Cisco SD-WAN CVE-2026-76504 nije samo naslovna novost, već promena koju treba procenjivati kroz konkretne posledice, rokove i ograničenja.
Pošto Cisco navodi da nema zaobilaznog rešenja, mrežne kontrole mogu samo da smanje izloženost dok se nadogradnja ne završi. Prioritet imaju internetom dostupni sistemi i okruženja sa velikim brojem udaljenih lokacija, jer kompromitovan administratorski nalog može menjati politiku cele mreže. Urednički zaključak je da Cisco SD-WAN CVE-2026-76504 vredi pratiti kroz naredna zvanična ažuriranja, bez preuveličavanja detalja koji još nisu potvrđeni.
