Cisco Catalyst SD-WAN Manager: Authentifizierungsumgehung in der API ermöglicht Administratorzugriff (CVE-2026-76504)

Was passiert ist

Cisco Catalyst SD-WAN Manager weist eine Schwachstelle in der sitzungsbasierten Authentifizierung der API auf. Eine unsachgemäße Verarbeitung der URI-Kodierung in einer HTTP-Anfrage kann es einem nicht authentifizierten, entfernten Angreifer ermöglichen, eine Authentifizierungsregel für einen bestimmten API-Endpunkt zu umgehen. Es sind keine Zugangsdaten und keine Benutzerinteraktion erforderlich; der Angreifer benötigt lediglich Netzwerkzugriff, um eine präparierte HTTP-Anfrage zu senden.

Ein erfolgreicher Exploit verschafft dem Angreifer Zugriff auf das betroffene System mit den Rechten des Administratorbenutzers. Cisco bewertet dies als kritisch, mit einem CVSS-3.1-Wert von 9,8 und hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wird aktiv ausgenutzt. Cisco PSIRT hat mitgeteilt, dass es im September 2026 von der aktiven Ausnutzung Kenntnis erlangt hat, und empfiehlt dringend, das System zu aktualisieren. CISA hat die Schwachstelle am 30. September 2026 in den Katalog „Known Exploited Vulnerabilities“ aufgenommen; auch die SSVC-Bewertung von CISA stuft die Ausnutzung als aktiv ein.

Wer betroffen ist

Cisco nennt die folgenden Releases von Cisco Catalyst SD-WAN Manager als betroffen: 17.2.10, 18.2.0, 18.3.6, 18.3.6.1, 18.3.7, 18.3.8, 18.4.1 und 18.4.3.

Im Herstellerhinweis wird bei der Schutzmaßnahme zwischen den Bereitstellungstypen unterschieden. Für lokale Kundenumgebungen (On-Premises) rät Cisco, den Zugriff aus ungesicherten Netzen wie dem Internet einzuschränken. Für Cisco Catalyst SD-WAN Cloud-Hosted-Umgebungen gibt Cisco an, dass die Schutzmaßnahme bereits implementiert wurde.

Was jetzt zu tun ist

1. Aktualisieren Sie auf eine korrigierte Version der Cisco Catalyst SD-WAN Manager-Software. Cisco gibt an, dass eine korrigierte Version verfügbar ist, und empfiehlt Kundinnen und Kunden dringend, ein Upgrade durchzuführen. Die konkreten Nummern der korrigierten Versionen sind hier nicht aufgeführt; bestätigen Sie die Zielversion daher vor dem Einsatz anhand des Cisco-Herstellerhinweises.
2. Wenden Sie die vom Hersteller für lokale Bereitstellungen vorgesehene Schutzmaßnahme an. Es gibt keine Problemumgehungen, die die Schwachstelle beheben, aber Cisco rät, den Zugriff aus ungesicherten Netzen wie dem Internet einzuschränken. Falls ein Zugriff aus dem Internet erforderlich ist, beschränken Sie den Zugriff auf bekannte, vertrauenswürdige Hosts über die in den Benutzerhandbüchern genannten Ports und Protokolle.
3. Schützen Sie die Cisco Catalyst SD-WAN Control Components hinter einer Filtervorrichtung wie einer Firewall und erlauben Sie ausschließlich bekannten, vertrauenswürdigen Hosts, Datenverkehr an das System zu senden.
4. Beachten Sie bei cloudgehosteten Umgebungen, dass diese Schutzmaßnahme laut Cisco bereits implementiert ist.

Wie man es erkennt

Die Angriffsfläche ist die API des Cisco Catalyst SD-WAN Managers. Eine nicht authentifizierte Anfrage kann zu Administratorzugriff auf die API führen. Achten Sie auf unerwartete API-Sitzungen mit Administratorrechten, insbesondere aus dem Internet erreichbaren oder nicht vertrauenswürdigen Adressen, sowie auf Konfigurationsänderungen, die außerhalb der üblichen Änderungsfenster über die API vorgenommen wurden. Der Herstellerhinweis von Cisco führt keine spezifischen Kompromittierungsindikatoren auf.

Über den Patch hinaus

Hierbei handelt es sich um eine ohne vorherige Authentifizierung ausnutzbare, über das Netzwerk erreichbare Schwachstelle, die zu Administratorzugriff führen kann. Cisco gibt an, dass sie aktiv ausgenutzt wird. Das Einspielen des Sicherheitsupdates hat daher unmittelbare Priorität. Darüber hinaus spricht viel für kontinuierliche Erkennung und Reaktion: Mit Managed Detection and Response (MDR) lassen sich unerwartete administrative API-Aktivitäten überwachen, wie sie diese Schwachstelle ermöglicht. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, sicherzustellen, dass Verwaltungsschnittstellen wie diese aus nicht vertrauenswürdigen Netzen nicht erreichbar sind.