A Cisco confirmou que a CVE-2026-76504, falha crítica no Catalyst SD-WAN Manager com nota 9.8 na escala CVSS, foi explorada em ataques durante setembro. A vulnerabilidade permite entrar como administrador sem apresentar credencial alguma.
O problema está no tratamento das sessões de login da API. Segundo o aviso da fabricante, o Manager lida de forma incorreta com a codificação de URI em uma requisição HTTP, e uma requisição forjada contorna a regra de autenticação que deveria restringir o acesso a um único endpoint.
Basta conseguir enviar requisições à API do Manager. O invasor passa a operar como o usuário admin, que por padrão recebe o papel netadmin e pode executar todas as operações sobre os dispositivos gerenciados.
A técnica repete a vista no Oracle PeopleSoft neste mesmo mês: manipular a codificação da URL para que a checagem de segurança leia um caminho e o sistema processe outro.
As correções estão distribuídas por trem de versão. Saíram nas versões 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 e 26.2.1. Instalações anteriores à 20.9 precisam migrar para uma versão corrigida.
Não há solução alternativa permanente. Enquanto a atualização não acontece, a Cisco recomenda restringir o acesso ao Manager a partir de redes não confiáveis, incluindo a internet, aceitando conexões apenas de hosts conhecidos e mantendo os componentes de controle atrás de firewall.
A falha foi descoberta durante o atendimento de um chamado no centro de assistência técnica da empresa, e a confirmação de exploração partiu da própria equipe de resposta a incidentes de segurança de produtos. O catálogo de vulnerabilidades exploradas da CISA lista oito falhas de SD-WAN da Cisco incluídas em 2026.
