Cisco פרסמה ב-30 בספטמבר הודעת אבטחה על CVE-2026-76504, חולשה ב-Catalyst SD-WAN Manager, הקונסולה שממנה מוגדרת רשת SD-WAN שלמה. תוקף שלא הזדהה כלל יכול להגיע ל-API שלה בהרשאות של משתמש admin. באותו יום החולשה כבר נכנסה לקטלוג החולשות המנוצלות של CISA, ופתרון עוקף אין.

סקירה כללית

Catalyst SD-WAN Manager, שנקראה בעבר vManage, היא המקום שממנו נקבעת התנהגות הרשת בכל הסניפים, מהמדיניות שחלה על כל אתר ועד ניתוב התעבורה. הרשאות admin שם אינן על שרת אחד אלא על הגדרות הרשת כולה. לפי Horizon3, חשבון ה-admin מחזיק כברירת מחדל את התפקיד netadmin, שמתיר כל פעולה במערכת.

מזהה: CVE-2026-76504
סוג: עקיפת אימות בשל טיפול לקוי בקידוד כתובת URL (CWE-177)
מוצר: Cisco Catalyst SD-WAN Manager (בעבר vManage)
גרסאות מושפעות: כל גרסה שקודמת ל-20.9.10.1, וכן המסלולים 20.12, 20.15, 20.18, 26.1 ו-26.2 לפני הגרסה המתוקנת שלהם
גרסה מתוקנת: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1, 26.2.1
ניצול בפועל: כן, נוספה לקטלוג ה-KEV של CISA ב-30 בספטמבר 2026

ציר זמן

ספטמבר 2026: לפי Rapid7, Cisco PSIRT למדה על ניסיונות ניצול בפועל
30 בספטמבר 2026, 13:00 GMT: Cisco מפרסמת את ההודעה ואת הגרסאות המתוקנות, בלי פתרון עוקף
30 בספטמבר 2026: הרשומה נפתחת ב-NVD, ובאותו יום CISA מוסיפה את החולשה ל-KEV עם מועד תיקון ל-3 באוקטובר
1 באוקטובר 2026: NVD מוסיפה לרשומה את טווחי הגרסאות המושפעות

איך הניצול עובד

בשרתי אפליקציה בשפת Java, טופס ההתחברות נשלח תמיד לאותה כתובת קבועה, j_security_check, והרכיב שמאחוריה בודק שם משתמש וסיסמה ופותח session. ב-SD-WAN Manager קיים כלל אימות שכל תפקידו להגביל מי יכול לפנות ל-endpoint הזה.

הכלל הזה משווה מחרוזות: את הנתיב כפי שנכתב בבקשה, מול הנתיב המוגן. אבל את אותו נתיב אפשר לכתוב ביותר מדרך אחת, כי כל תו ב-URL אפשר לרשום גם בקידוד אחוזים, והאות j היא גם %6a. הרכיב שמטפל בבקשה בהמשך מפרסר את הנתיב, מפענח את הקידוד ומגיע ל-j_security_check, ואילו הכלל שבדק לפניו ראה מחרוזת שאינה ברשימה שלו ונתן לבקשה לעבור. שני רכיבים, אותו נתיב, שתי תשובות שונות לשאלה מה כתוב בו. לסוג החולשה הזה קוראים Improper Handling of URL Encoding, והרשומה מסמנת אותו כ-CWE-177.

ואין תו מסוים שצריך לדעת. Cisco מדגישה ש-%6a הוא רק דוגמה, וכל תו אחד שיגיע מקודד מספיק. בדוגמת הלוג שבהודעה, הבקשה POST /%6a_security_check חוזרת עם קוד 200, והרישום בצד השרת נשמר עבור משתמש ששמו מתחיל ב-viptela-reserved, חשבון שירות פנימי של המערכת.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

הציון הוא של Cisco עצמה, והיחיד שברשומת ה-NVD. בפועל הוא אומר שהבקשה מגיעה ברשת בלי אימות ובלי הרשאה, שאף אחד לא צריך ללחוץ על כלום, ושהתוקף מקבל שליטה ב-API בהרשאות מנהל.

איפה למצוא Proof of Concept (PoC)

Horizon3 פרסמה ניתוח טכני שמפרט את מבנה הבקשה ואת סימני הזיהוי בלוגים, בלי קוד ניצול מוכן להרצה. PoC ציבורי מלא לא פורסם עד כה.

החולשה מנוצלת בפועל, אין פתרון עוקף, והגרסאות המתוקנות זמינות; מי שממשק הניהול שלו נגיש מהאינטרנט נמצא במרחק בקשה אחת.