🔥 Cisco Catalyst SD-WAN Manager: критический обход аутентификации API уже эксплуатируют 30 сентября Cisco опубликовала бюллетень для CVE-2026-76504. CVSS 9.8. Причина в CWE-177, некорректной обработке кодирования URL. Атакующий отправляет HTTP-запрос с закодированным символом в пути j_security_check. Например, %6a вместо 'j'. Обходит правило аутентификации на конкретной точке API. В результате получает полный доступ с привилегиями администратора. Системы с открытыми наружу портами под ударом. Активную эксплуатацию Cisco PSIRT зафиксировала в сентябре. По данным rapid7_blog, временного решения нет. Только исправленные версии: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1, 26.2.1. Всё, что раньше 20.9, — миграция. Для облачного Cisco SD-WAN Cloud (Managed) обновление до 20.15.605 уже развёрнуто, действий не требуется. Временная мера — закрыть доступ из небезопасных сетей или пропускать только доверенные хосты через устройство фильтрации. Но мера не заменяет обновление. Это уже третья критическая уязвимость Catalyst SD-WAN Manager в 2026. Ранее были CVE-2026-20127 и CVE-2026-20182 — обе в vdaemon, ошибки аутентификации пиринговых соединений. Эта уязвимость затрагивает отдельный путь API, но повторение обходов в компонентах управления, доступных из интернета, настораживает. Проверять системы нужно по логам: → serviceproxy-access.log: POST /%6a_security_check HTTP/1.1 — закодированный символ в j_security_check → vmanage-server.log: username начинается с viptela-reserved- → %6a — лишь пример, атакующий может закодировать любой одиночный символ → Ложные срабатывания возможны в штатной работе Меня цепляет, что три обхода за год не связаны между собой. Это не серия исправлений, а архитектурная привычка выставлять плоскость управления в интернет. Обновление закроет CVE-2026-76504, но не следующую дыру в том же компоненте. #Cisco #SDWAN #CVE202676504 #AuthenticationBypass #эксплуатация