Cisco выпустила срочные обновления для Catalyst SD-WAN Manager: новый SD-WAN zero-day с идентификатором CVE-2026-76504 уже используют в атаках для получения прав администратора. Для компаний, которые управляют распределёнными сетями через Cisco, это не абстрактная страшилка из бюллетеня, а повод быстро проверить версии, логи и доступ к управляющей панели.
О проблеме сообщает BleepingComputer со ссылкой на предупреждение Cisco PSIRT. Уязвимость затрагивает Catalyst SD-WAN Manager, ранее известный как SD-WAN vManage, — ПО для мониторинга и управления SD-WAN-инфраструктурой, которое может обслуживать до 6000 устройств из одной консоли. Ошибка получила критический статус, потому что позволяет удалённому неаутентифицированному атакующему обойти проверку доступа и действовать с административными привилегиями.
Причина CVE-2026-76504 — некорректная обработка URI-encoding в HTTP-запросе. Если говорить без бюллетенного тумана: специально сформированный запрос к API может проскочить мимо правила аутентификации, которое должно закрывать доступ к конкретному endpoint. Cisco отдельно указала, что проблема касается всех развёртываний независимо от конфигурации. То есть надежда на «у нас настройки другие, нас не касается» здесь выглядит слабой стратегией.
Компания не раскрыла подробности атак, но дала администраторам рабочие индикаторы компрометации. В вредоносных запросах злоумышленники используют %6a — URI-кодированную букву j. Командам ИБ рекомендуют проверить файл serviceproxy-access.log в каталоге /var/log/nms/containers/service-proxy и vmanage-server.log в /var/log/nms/. Особое внимание — записям, связанным с j_security_check, если они пришли с неизвестных или неавторизованных IP-адресов.
Для устранения риска Cisco советует перейти на исправленные релизы. Для ветки 20.9 это версия 20.9.10.1, для 20.12 — 20.12.8.2, для 20.15 — 20.15.6.1, для 20.18 — 20.18.4.1, для 26.1 — 26.1.2.1, для 26.2 — 26.2.1. Более ранние версии до 20.9 нужно мигрировать на поддерживаемый исправленный релиз. Если есть подозрение на компрометацию, Cisco рекомендует открыть кейс в TAC и заранее собрать admin-tech files, чтобы инженерам было с чем работать, а не гадать по запаху горелого.
Эта история неприятна не только сама по себе. CVE-2026-76504 стала уже пятым SD-WAN zero-day Cisco, который активно эксплуатировали с начала 2026 года. В феврале компания исправила уязвимость раскрытия информации CVE-2026-20127, которую, по данным Cisco, использовали как минимум с 2023 года. В мае появилась максимальная по критичности проблема обхода аутентификации в Catalyst SD-WAN Controller — CVE-2026-20182, тоже с выходом на админские права. В начале июня Cisco предупредила ещё о двух zero-day, CVE-2026-20245 и CVE-2026-20262, через которые атакующие получали root-доступ на уязвимых системах.
Американское агентство CISA уже добавило CVE-2026-76504 в каталог Known Exploited Vulnerabilities. Федеральные ведомства США обязаны закрыть дыру до субботы, 3 октября 2026 года. Для частного сектора это не приказ, но хороший индикатор срочности: когда уязвимость попадает в KEV, её обычно уже не просто обсуждают в чатах исследователей, а используют в реальных цепочках атак.
Для IT-директоров и сетевых команд главный вывод простой: управляющий слой SD-WAN снова оказался вкусной целью. Это логично — через него можно получить обзор и контроль над распределённой инфраструктурой, филиалами, туннелями и политиками. Компрометация такой консоли потенциально бьёт сильнее, чем взлом одного периферийного устройства, потому что атакующий получает рычаги управления, а не просто точку присутствия.
Разработчикам внутренних платформ и командам DevSecOps эта новость тоже небесполезна. Ошибка вокруг обработки URI-encoding — старый класс проблем, но в API управляющих систем он всё ещё приводит к последствиям уровня «админ без логина». Проверки доступа должны жить не в одном хрупком правиле на маршруте, а проходить на нескольких уровнях: нормализация запроса, маршрутизация, авторизация endpoint, аудит. Иначе один символ в кодировке превращается в пропуск.
Практический минимум на ближайшие часы: сверить версию Catalyst SD-WAN Manager, запланировать обновление, выгрузить и просмотреть логи на признаки j_security_check с чужих IP, ограничить доступ к управляющим интерфейсам и проверить, кто вообще может достучаться до API. Если SD-WAN Manager торчит шире, чем должен, это тот случай, когда «потом закроем» может стать очень дорогой фразой.
Пятая активно эксплуатируемая уязвимость Cisco SD-WAN за год показывает неприятный тренд: атакующие всё чаще идут не в отдельные серверы, а в системы управления инфраструктурой. В 2026 году вопрос для бизнеса уже не в том, есть ли у поставщика очередной SD-WAN zero-day, а в том, насколько быстро команда узнаёт об эксплойте, ставит патч и понимает, что происходило в логах до обновления.
