Cisco heeft op 30 september 2026 een advies uitgebracht over een kritieke kwetsbaarheid, geregistreerd als CVE-2026-76504, in Cisco Catalyst SD-WAN Manager. Deze kwetsbaarheid wordt momenteel actief uitgebuit door aanvallers.

De kwetsbaarheid stelt een niet-geauthenticeerde externe aanvaller in staat om administratieve toegang te verkrijgen tot kwetsbare SD-WAN management systemen. Met een CVSS-score van 9.8 is de ernst van de situatie aanzienlijk, en dit geldt ongeacht de systeemconfiguratie.

De kwetsbaarheid bevindt zich in het component voor API sessie-gebaseerd authenticatiebeheer. Het probleem ontstaat door een onjuiste afhandeling van URI-encoding in HTTP-verzoeken. Aanvallers kunnen hiervan misbruik maken door een speciaal samengesteld verzoek te sturen naar de blootgestelde API. Concreet kunnen zij gecodeerde karakters misbruiken in verzoeken naar het j_security_check eindpunt, bijvoorbeeld door gebruik te maken van het gecodeerde karakter %6a.

Succesvolle exploitatie van deze kwetsbaarheid kan ertoe leiden dat een aanvaller met beheerderprivileges toegang krijgt tot de API, wat uiteindelijk controle over het SD-WAN management platform kan betekenen. Cisco werd zich bewust van de actieve exploitatie in september 2026 en heeft organisaties opgeroepen om software-updates te installeren. Er bestaan momenteel geen workarounds die de kwetsbaarheid volledig oplossen.

Cisco adviseert beheerders om onmiddellijk de logs van Cisco Catalyst SD-WAN Manager te onderzoeken op verdachte toegangspogingen. Specifiek dient het bestand serviceproxy-access.log op /var/log/nms/containers/service-proxy/serviceproxy-access.log te worden geraadpleegd. Daarnaast wordt aangeraden om /var/log/nms/vmanage-server.log te inspecteren op verzoeken naar gecodeerde j_security_check paden, geassocieerd met gebruikersnamen die beginnen met viptela-reserved-.

Voor on-premises implementaties raadt Cisco aan om toegang tot SD-WAN Manager vanaf het openbare internet te beperken en dit enkel toe te staan vanaf bekende en vertrouwde hosts. Cisco SD-WAN Cloud Hosted omgevingen hebben deze mitigatie reeds geïmplementeerd.

Organisaties wordt aangeraden om zo snel mogelijk te upgraden naar de volgende gepatchte versies: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 en 26.2.1. Cisco SD-WAN Cloud Managed Release 20.15.605 repareert de kwetsbaarheid eveneens, zonder dat hiervoor actie van de klant vereist is.

Cisco-klanten die een mogelijke compromis vermoeden, wordt geadviseerd een admin-tech bestand te verzamelen en een Severity 3 TAC case te openen, met verwijzing naar CVE-2026-76504.