Cisco Catalyst SD-WAN Manager: Authentifizierungsumgehung in der API-Sitzungsverwaltung

Zusammenfassung

Eine Schwachstelle in der sitzungsbasierten API-Authentifizierung von Cisco Catalyst SD-WAN Manager (ehemals vManage) erlaubt einem nicht authentifizierten Angreifer aus der Ferne den Zugriff auf die API mit Admin-Berechtigungen. Der Angreifer sendet eine manipulierte HTTP-Anfrage mit URI-Kodierung, die die Authentifizierungsregel für einen eingeschränkten API-Endpunkt umgeht. Für die Ausnutzung genügt der Netzwerkzugriff auf den Manager, und Cisco meldet aktive Ausnutzung in freier Wildbahn, weshalb aus dem Internet erreichbare Instanzen einem hohen Risiko ausgesetzt sind.

Betroffen

• Cisco Catalyst SD-WAN Manager, unabhängig von der Systemkonfiguration.
• Das Cisco-Advisory listet die betroffenen Versionen auf; der CVE-Eintrag nennt unter anderem Versionen von 18.3.x bis 20.1.x. Status anderer Release-Linien: Unbekannt.
• Von Cisco verwaltete Cloud (Cisco SD-WAN Cloud Managed Release 20.15.605): behoben, keine Massnahmen durch den Kunden erforderlich.

Behoben in

• Upgrade auf die erste behobene Version der jeweiligen Linie (laut Übernahme der Cisco-Tabelle durch Dritte; vor Change-Tickets im Cisco-Advisory prüfen):
• 20.9 auf 20.9.10.1
• 20.12 auf 20.12.8.2
• 20.15 auf 20.15.6.1
• 20.18 auf 20.18.4.1
• 26.1 auf 26.1.2.1
• 26.2 auf 26.2.1
• Versionen vor 20.9: zuerst auf eine behobene Version migrieren.
• Linien 20.10, 20.11, 20.13, 20.14 und 20.16 sind in der Tabelle nicht aufgeführt: Unbekannt, bei Cisco nachfragen.

Umgehung

• Keine Workaround-Massnahme behebt diese Schwachstelle; Cisco hält das Upgrade für die einzige Abhilfe.
• Der Live-Protect-Shield von Cisco bietet nur einen vorübergehenden, teilweisen Schutz und kann legitime Anmeldungen mit URI-Kodierung blockieren.
• Nur als Übergangsmassnahme: Zugriff auf den Manager aus dem Internet und aus unsicheren Netzen einschränken und ihn hinter einem Filtergerät betreiben.

Ausnutzung

• Aktive Ausnutzung bestätigt; das PSIRT von Cisco wurde im September 2026 darauf aufmerksam.
• Seit dem 30. Sep 2026 im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, mit einer Frist für Bundesbehörden bis 3. Okt 2026.
• Öffentliche Repositories, die auf die CVE verweisen, sind aufgetaucht; ein zuverlässiger, unabhängig verifizierter öffentlicher Exploit ist nicht bestätigt.
• Zuordnung zu einem Threat Actor: Unbekannt.

Unsere Empfehlung

• Alle Instanzen von Catalyst SD-WAN Manager mit ihren genauen Versionen erfassen, auch solche, die von einem Managed-Service-Provider betrieben werden.
• Jede Instanz prioritär auf die erste behobene Version ihrer Linie aktualisieren; Instanzen, die nur für frühere Cisco-Fixes aktualisiert wurden, benötigen trotzdem dieses Update.
• Bis zur Aktualisierung den Internetzugriff auf den Manager entfernen und den Zugriff auf vertrauenswürdige Management-Netze beschränken.
• Auf Kompromittierung prüfen: Service-Proxy- und Server-Logs nach kodierten j_security_check-Anfragen von unbekannten IP-Adressen durchsuchen, unerwartete Admin-API-Sitzungen prüfen sowie neue oder unbekannte Konten und Konfigurationsänderungen kontrollieren.
• Bei einem Befund den Manager als kompromittiert behandeln und den Leitlinien von Cisco zur Neuinstallation der Fabric folgen. Den Status nicht aufgeführter Linien direkt bei Cisco bestätigen lassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ShadowForge-Cyber/CVE-2026-76504-Proof-of-concept · pastelghost3/cve-2026-76504-nuclei · maxprog-svg/CVE-2026-76504-Cisco

Quellen der Recherche

• Cisco Security Advisory cisco-sa-sdwan-webauth-xr8beuuU sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry www.cisa.gov
• CIS advisory on SD-WAN Manager authentication bypass www.cisecurity.org
• Rapid7 ETR: exploited in the wild www.rapid7.com
• eSentire security advisory www.esentire.com
• watchTowr FAQ on CVE-2026-76504 watchtowr.com
• SOCRadar analysis of CVE-2026-76504 socradar.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:24.