Cisco SD-WAN Manager sob ataque: falha crítica (CVSS 9.8)

A Cisco confirmou exploração ativa de uma falha crítica de autenticação no Catalyst SD-WAN Manager, com CVSS 9.8. A vulnerabilidade, catalogada como CVE-2026-76504, deixa toda gestão da rede SD-WAN aberta: um atacante sem credenciais consegue acesso de administrador só enviando uma requisição HTTP manipulada.

O caso já está no catálogo KEV da CISA desde 30 de setembro, com prazo de correção de três dias para órgãos federais dos EUA — vence em 3 de outubro.

Quem é afetado

A falha atinge o Cisco Catalyst SD-WAN Manager (antigo SD-WAN vManage) em todas as versões anteriores às corrigidas:

• 20.9 — corrigido em 20.9.10.1
• 20.12 — corrigido em 20.12.8.2
• 20.15 — corrigido em 20.15.6.1
• 20.18 — corrigido em 20.18.4.1
• 26.1 — corrigido em 26.1.2.1
• 26.2 — corrigido em 26.2.1
• SD-WAN Cloud Release — corrigido em 20.15.605

Não há workaround. A própria Cisco recomenda isolar o Manager atrás de firewall e restringir o acesso à interface de gerência enquanto o patch não é aplicado.

Como a falha funciona

O problema está no tratamento incorreto da codificação de URI em requisições HTTP, o que permite contornar a regra de autenticação que protege endpoints específicos da API do Manager. Com uma requisição forjada, o atacante alcança a API como usuário administrativo, sem senha nem token válido.

Segundo a Cisco, o PSIRT da empresa identificou exploração ativa em setembro de 2026. Como o SD-WAN Manager centraliza o controle de toda a WAN — roteadores, políticas e túneis —, comprometê-lo equivale a assumir a rede inteira.

O que fazer agora

1. Atualize o Catalyst SD-WAN Manager para a versão corrigida da sua trilha (lista acima) o quanto antes — não há correção parcial nem patch virtual.
2. Audite os logs serviceproxy-access.log e vmanage-server.log em busca de entradas suspeitas de j_security_check, indício de tentativa de exploração.
3. Se houver suspeita de comprometimento, colete os arquivos admin-tech do sistema antes de atualizar, para preservar evidência.
4. Restrinja o acesso à interface de gerência do SD-WAN Manager a redes de gestão confiáveis — nunca exponha a API à internet.
5. Revise contas administrativas e tarefas criadas recentemente no Manager; patch não remove quem já entrou.

Perguntas frequentes

A falha exige autenticação prévia?
Não. É uma vulnerabilidade pré-autenticação: o atacante não precisa de nenhuma credencial válida para obter acesso administrativo.

Existe prova de conceito pública?
A Cisco não divulgou detalhes técnicos completos do exploit, mas confirmou exploração ativa antes mesmo da publicação do aviso, o que caracteriza uso como zero-day.

Atualizar remove um invasor que já comprometeu o sistema?
Não necessariamente. O patch fecha a porta de entrada, mas não revoga contas ou sessões criadas durante um comprometimento anterior — por isso a auditoria de logs e contas é obrigatória, não opcional.

Conclusão

Quem opera Catalyst SD-WAN Manager deve tratar isso como incidente em andamento, não como mais um patch de rotina: atualizar para a versão corrigida, auditar os logs de acesso e revisar contas administrativas antes de dar o caso por encerrado.