NKI-riasztás: aktívan kihasznált, kritikus hiba a Cisco SD-WAN Managerben
Aktívan kihasznált, 9,8-as CVSS-pontszámú sérülékenység miatt adott ki riasztást az NKI a Cisco Catalyst SD-WAN Manager rendszert érintő hibáról. A saját üzemeltetésű, érintett példányokat mielőbb javított kiadásra kell frissíteni; a Cisco által kezelt felhős rendszereknél a javítás már megtörtént, felhasználói teendő nincs.
Fontos
Aktívan kihasznált, kritikus: CVSS 9.8, NKI-riasztás
Bejelentkezés nélkül szerezhető rendszergazdai hozzáférés
A CVE-2026-76504 azonosítójú hiba az API munkamenet-alapú hitelesítéskezelésében található. A szoftver nem megfelelően kezeli a HTTP-kérések URI-kódolását, így egy speciálisan összeállított kérés megkerülheti az adott API-végpont hozzáférését védő hitelesítési szabályt. A távoli támadónak ehhez nem kell bejelentkeznie: elegendő a Manager API-jának hálózati elérése, a sikeres támadás pedig rendszergazdai hozzáférést adhat.
Az NKI szerint a Manager az egész SD-WAN-hálózatot vezérli, ezért a támadás a teljes hálózat bizalmasságát és integritását veszélyezteti. A Cisco már 2026 szeptemberében tudomást szerzett az aktív kihasználásról. A 9,8-as CVSS-érték a műszaki súlyosságot jelzi a 0-10-es skálán; a tényleges támadásokat ettől függetlenül is megerősítette a gyártó.
Ezek az első javított kiadások
A sérülékenység a rendszerkonfigurációtól függetlenül érinti a Cisco Catalyst SD-WAN Manager terméket. A felsorolt kiadási ágakban a következő verziók tartalmazzák először a javítást:
- 20.9: 20.9.10.1
- 20.12: 20.12.8.2
- 20.15: 20.15.6.1
- 20.18: 20.18.4.1
- 26.1: 26.1.2.1
- 26.2: 26.2.1
A 20.9 előtti kiadásokról javított kiadásra kell áttérni. A Cisco az érintett rendszerek frissítését sürgeti; a frissítés megtervezéséhez a saját kompatibilitási és frissítési táblázatait ajánlja.
A Cisco által kezelt felhős példányok kivételt jelentenek
A Cloud Hosted, Cisco Managed környezeteknél nem szükséges felhasználói beavatkozás. A gyártó a felhős Cisco SD-WAN Cloud (Cisco Managed) 20.15.605 kiadásban már javította a hibát. A javítás aktuális állapota vagy a szoftver verziója a szolgáltatás grafikus felületének Help funkciójával ellenőrizhető. Ez a kivétel a Cisco által kezelt példányokra vonatkozik, nem általában minden felhőben futó telepítésre.
Az átmeneti védelem nem helyettesíti a frissítést
A hibát véglegesen megszüntető kerülőmegoldás nincs. Ha saját üzemeltetésű környezetben nem lehetséges az azonnali frissítés, az NKI és a Cisco a hálózati hozzáférés korlátozását, valamint a vezérlő komponensek tűzfal mögötti elhelyezését javasolja.
A Cisco külön Live Protect védelmet is kiadott, de ez csak átmeneti, részleges védelmet nyújt. Mellékhatásként az URI-kódolást használó jogosult felhasználók bejelentkezését is megakadályozhatja. A gyártó szerint a sérülékenységet kizárólag a javított szoftverre frissítés szünteti meg; az átmeneti intézkedések alkalmazhatóságát és környezeti hatását bevezetésük előtt értékelni kell.
A naplókban is érdemes keresni a gyanús kéréseket
A Cisco két naplóban javasolja az ismeretlen vagy jogosulatlan IP-címekről érkező, j_security_check útvonalhoz kapcsolódó bejegyzések vizsgálatát. A vmanage-server.log esetében külön kiemeli a viptela-reserved- kezdetű felhasználóneveket. Egy ilyen bejegyzés önmagában nem bizonyít sikeres támadást: a gyártó szerint a jelzéseket a hálózat megszokott működésével összevetve kell értékelni a téves riasztások elkerüléséhez.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum