Cisco varnar för en kritisk säkerhetsbrist i Cisco Catalyst SD-WAN Manager som kan göra det möjligt för en obehörig angripare att kringgå autentisering och få administratörsbehörighet. Sårbarheten har fått CVSS 9,8 och Cisco bekräftar att den redan har utnyttjats aktivt.
Kritisk sårbarhet i Cisco Catalyst SD-WAN Manager
Cisco publicerade den 30 september 2026 en säkerhetsvarning om en kritisk sårbarhet i Cisco Catalyst SD-WAN Manager.
Sårbarheten, som identifieras som CVE-2026-76504, finns i hanteringen av sessionsbaserad autentisering för produktens API. 
Enligt Cisco kan en obehörig angripare på distans utnyttja säkerhetsbristen för att kringgå autentiseringen och få tillgång till det berörda systemets API med administratörsbehörighet.
Sårbarheten har fått 9,8 av 10 på CVSS-skalan, vilket placerar den i kategorin kritisk.
Specialkonstruerad HTTP-förfrågan kan kringgå autentisering
Problemet orsakas enligt Cisco av felaktig hantering av URI-kodning i HTTP-förfrågningar.
Det innebär att en angripare kan skapa en särskilt utformad HTTP-förfrågan som kringgår en autentiseringsregel avsedd att begränsa åtkomsten till en specifik API-endpoint.
Om attacken lyckas kan angriparen kringgå autentiseringen och få åtkomst till API som administratör.
Sårbarheten påverkar Cisco Catalyst SD-WAN Manager oavsett systemkonfiguration.
Cisco bekräftar aktivt utnyttjande
Situationen är särskilt allvarlig eftersom Cisco Product Security Incident Response Team, PSIRT, uppger att bolaget under september 2026 blev medvetet om att sårbarheten aktivt utnyttjas.
Cisco rekommenderar därför kunder att uppgradera berörda system till en korrigerad programvaruversion så snart som möjligt.
Det finns i dagsläget ingen workaround som åtgärdar själva sårbarheten.
Internetexponerade system innebär ökad risk
Cisco uppger att Catalyst SD-WAN Manager-system som är exponerade mot internet kan löpa risk att komprometteras.
För lokalt installerade miljöer rekommenderar Cisco bland annat att åtkomst från osäkra nätverk begränsas och att system endast görs tillgängliga för kända och betrodda värdar.
Cisco rekommenderar också att SD-WAN-kontrollkomponenter skyddas bakom brandvägg eller motsvarande filtreringslösning.
För Cisco Catalyst SD-WAN Cloud Hosted är denna begränsning enligt Cisco redan implementerad.
Administratörer uppmanas kontrollera loggar
Cisco rekommenderar organisationer att granska sina loggar efter tecken på möjlig exploatering.
Bland annat bör administratörer kontrollera serviceproxy-access.log efter misstänkta anrop relaterade till j_security_check från okända eller obehöriga IP-adresser.
Även vmanage-server.log bör granskas efter misstänkt aktivitet kopplad till samma funktion och systemkonton vars namn börjar med viptela-reserved-.
Organisationer som misstänker att deras miljö kan ha komprometterats rekommenderas att kontakta Cisco Technical Assistance Center, TAC.
Cisco har släppt säkerhetsuppdateringar
Cisco har publicerat korrigerade versioner för de berörda programvarugrenarna:
- 20.9 → 20.9.10.1
- 20.12 → 20.12.8.2
- 20.15 → 20.15.6.1
- 20.18 → 20.18.4.1
- 26.1 → 26.1.2.1
- 26.2 → 26.2.1
Versioner äldre än 20.9 behöver migreras till en korrigerad version.
Sårbarheten har även åtgärdats i den molnbaserade Cisco SD-WAN Cloud, Cisco Managed, version 20.15.605. För den tjänsten krävs enligt Cisco ingen åtgärd från kunden.
Uppgradering är den permanenta lösningen
Cisco betonar att eventuella begränsningar och skyddsåtgärder endast ska betraktas som tillfälliga.
Den rekommenderade åtgärden är att uppgradera till en programvaruversion där CVE-2026-76504 har korrigerats.
Sårbarheten upptäcktes i samband med hanteringen av ett supportärende hos Cisco Technical Assistance Center.
Cisco rekommenderar samtidigt organisationer att begränsa internetåtkomst till SD-WAN Manager, övervaka webbtrafik och loggar samt säkerställa att administrativa konton endast används när det är nödvändigt.
