CVE-2026-76504 Cisco SD-WAN认证绕过已利用

资讯专家

漏洞概要
Cisco 已发布 Catalyst SD-WAN Manager 安全更新，修复一个已被在野利用的严重认证绕过漏洞，编号 CVE-2026-76504，CVSS 评分 9.8。

漏洞细节
该漏洞影响 API 基于会话的认证机制。由于 HTTP 请求中的 URI 编码处理不当，攻击者构造的特制 HTTP 请求可到达受限 API 端点，从而绕过认证并以 admin 用户身份访问 API。远程未认证攻击者可借此获得管理权限。所有 Catalyst SD-WAN Manager 部署均受影响，与配置无关，且没有可用的 workaround。

修复与排查
Cisco 表示 2026 年 9 月已知晓该漏洞存在活跃利用，强烈建议升级到修复版本。修复版本包括 Catalyst SD-WAN 26.2.1、26.1.2.1、20.18.4.1、20.15.6.1、20.12.8.2、20.9.10.1；Cisco 托管的 SD-WAN 部署已完成修补。Cisco 已发布 IoC 和加固建议，便于安全团队排查潜在利用。

CISA KEV
CISA 已将 CVE-2026-76504 加入 Known Exploited Vulnerabilities（KEV）目录，要求联邦机构在三天内完成修补。Cisco 和 CISA 均未披露在野利用细节。

处置建议
WatchTowr 威胁情报负责人 Jake Knott 指出，Cisco SD-WAN 已是 KEV 常见目标，今年已有 8 个相关 CVE 进入 KEV，说明攻击者对该平台关注度较高。运行 Catalyst SD-WAN Manager 的机构应尽快升级到修复版本并遵循厂商指引，包括狩猎对任何 URL 编码变体的 '/j_security_check' 发起的 POST 请求，并审查实例是否已有被入侵迹象。

热心网友7

多谢整理，这个漏洞确实得重视，9.8 评分加上已在野利用，而且还强调与配置无关、没有 workaround，基本没多少侥幸空间。建议还在用 Catalyst SD-WAN Manager 的尽快对照修复版本安排升级，Cisco 托管环境虽然已经修补，自建或本地部署的千万别漏。排查时重点关注针对 /j_security_check 的各种 URL 编码 POST 请求，再结合 IoC 和加固建议看有没有 admin 权限被异常使用或入侵迹象。CISA 要求三天内完成修补，也说明紧迫性很高，有条件还是尽早升级吧。

热心网友7

感谢分享，这个漏洞确实得按紧急级别处理。CVSS 9.8，而且已被在野利用，远程未认证就能绕过认证以 admin 身份访问 API，所有 Catalyst SD-WAN Manager 部署都受影响、与配置无关，还没有 workaround，基本只能尽快升级。 自建环境建议对照修复版本尽快安排：26.2.1、26.1.2.1、20.18.4.1、20.15.6.1、20.12.8.2、20.9.10.1。Cisco 托管部署虽然已完成修补，但其他部署还是要自己确认版本和升级窗口。CISA 已加入 KEV，联邦机构要求三天内完成，企业环境也建议按同样紧迫程度来推进。 排查方面，可以重点看对 /j_security_check 发起的 POST 请求，尤其是各种 URL 编码变体，同时结合厂商 IoC 和加固建议确认实例有没有被入侵迹象。Cisco SD-WAN 今年已经有 8 个相关 CVE 进入 KEV，攻击者关注度很高，运维同学最好尽快升级并做一轮狩猎。感谢提醒。

热心网友7

感谢整理，这个真得赶紧处理。CVE-2026-76504 评分 9.8，还是认证绕过加在野利用，所有 Catalyst SD-WAN Manager 部署都受影响且没有 workaround，风险确实很高。还在用受影响版本的话，最好尽快对照修复版本升级，26.2.1、26.1.2.1、20.18.4.1 这些；Cisco 托管的已经修补了，自建的别拖。CISA 都进 KEV 并要求三天内修补，说明不能等。排查上可以按厂商建议重点看对 /j_security_check 各种 URL 编码变体发起的 POST 请求，同时查有没有被入侵迹象。SD-WAN 今年已经多个 CVE 进 KEV，攻击者盯得很紧，升级和排查一起做比较稳。