|
30.09.2026 16:23 Uhr |
Eine Schwachstelle in der Anmeldelogik des Cisco Catalyst SD-WAN Manager erlaubt Angreifern, auf verwundbare Systeme aus der Ferne mit Admin-Privilegien zuzugreifen. Mit diesen Rechten können sie die Geräte über die integrierte API fernsteuern.
Die Lücke mit der CVE-Kennung CVE-2026-76504 erreicht einen CVSS-Wert von 9.8/10 und ist somit als kritisch eingestuft. Sie fußt auf einer inkorrekten URL-Kodierung einer Anfrage wie „j_security_check“ zu „%6a_security_check“, ist also ein Bug in der Eingabeprüfung der URL-Verarbeitung.
Cisco nennt in seinem Sicherheitshinweis zwei mögliche Erkennungsmethoden, nämlich die Protokolldateien „/var/log/nms/serviceproxy-access.log“ und „/var/log/nms/vmanage-server.log“. Wer dort die Zeichenkette „/%6a_security_check“ vorfindet, sollte genauer hinschauen, obgleich sie auch bei normaler Nutzung auftreten könne.
Da Cisco ein halbes Dutzend Versionen von SD-WAN Manager pflegt, gibt es ebenso viele Patch-Versionen und zwar:
Updates erhalten Kunden wie üblich im Downloadbereich. Kunden sollten mit der Aktualisierung ihrer Instanzen nicht warten. Das Cisco PSIRT (Product Security Incident Response Team) weiß seit einem nicht näher spezifizierten Datum im September 2026 von aktiven Angriffen. Wer den Verdacht hat, sein Gerät sei bereits kompromittiert, sollte eine Supportanfrage ans TAC (Technical Assistance Center) stellen.
Cisco Catalyst SD-WAN Manager hat in den letzten Monaten eine katastrophale Sicherheitsbilanz: Im April, Mai, Juni, August und nun im September gab es kritische Lücken, die jeweils von Angreifern ausgenutzt wurden. Gleich acht neun dieser Lücken haben es dieses Jahr in die Liste der „known exploited vulnerabilities“ der US-Cybersicherheitsbehörde CISA geschafft, denn CVE-2026-76504 ist seit den Abendstunden des 30. September 2026 ebenfalls in der Liste enthalten.
Erwartungsgemäß hat die CISA die Lücke in ihre Liste der als ausgenutzt bekannten Sicherheitslücken aufgenommen, wir haben den letzten Satz der Meldung entsprechend ergänzt.
(cku)