CISA u KEV dodala kritični propust u Cisco SD-WAN Manageru
Američka Agencija za sajber bezbednost i bezbednost infrastrukture, CISA, dodala je CVE-2026-76504 u katalog Known Exploited Vulnerabilities (KEV) nakon potvrda aktivnog iskorišćavanja propusta u Cisco Catalyst SD-WAN Manageru. Ranjivost ima CVSS ocenu 9,8 i neautentifikovanom udaljenom napadaču može omogućiti pristup pogođenom sistemu sa privilegijama administratorskog korisnika.
Cisco je saopštio da je za aktivnu eksploataciju saznao tokom septembra 2026. godine. Federalne civilne izvršne agencije SAD imaju rok do 3. oktobra 2026. da primene dostupne ispravke.
Zaobilaženje prijave preko API zahteva
Problem je opisan kao ranjivost vezana za heksadekadno kodiranje. Nastaje zbog nepravilne obrade URI kodiranja u HTTP zahtevu, a napadač može poslati posebno pripremljen zahtev API-ju pogođenog sistema i tako zaobići autentifikaciju.
Uspešan napad pruža pristup API-ju u svojstvu administratorskog korisnika. To je naročito značajno za upravljačku platformu koja se koristi za konfiguraciju, nadzor i administraciju većih SD-WAN okruženja.
Provera tragova kompromitacije
Cisco je objavio indikatore kompromitacije koje administratori mogu koristiti u sopstvenim okruženjima. Potrebno je proveriti datoteku /var/log/nms/containers/service-proxy/serviceproxy-access.log za zapise povezane sa j_security_check koji potiču sa nepoznatih ili neodobrenih IP adresa.
Druga preporučena provera obuhvata /var/log/nms/vmanage-server.log, takođe za pozive j_security_check sa nepoznatih ili neodobrenih IP adresa. Posebnu pažnju zahtevaju pozivi za korisnike čija imena počinju sa viptela-reserved-.
Cisco nije objavio podatke o akterima, broju pogođenih organizacija, vremenu prvog zabeleženog napada niti detalje o samoj aktivnosti. Širi bezbednosni kontekst dopunjuju Cisco propusti i lanci napada, gde se vide i drugi Cisco propusti i lanci napada koji zahtevaju pravovremeno otklanjanje rizika.
Praktični prioriteti za administratore
Organizacije koje koriste Catalyst SD-WAN Manager treba što pre da pređu na verziju sa ispravkom i da prate uputstva proizvođača. Pretraga treba da obuhvati POST zahteve prema svim URL-kodiranim varijantama putanje /j_security_check, a pronađene primere treba proveriti na znakove eksploatacije.
Najpraktičniji poslovni zaključak je da ažuriranje i pregled navedenih logova budu vođeni kao hitan bezbednosni zadatak, uz jasnu evidenciju nalaza i ograničavanje daljeg pristupa ako se uoče sumnjivi zahtevi.