Cisco פרסמה ב-30 בספטמבר 2026 תיקון לחולשה ב-Catalyst SD-WAN Manager, המערכת שממנה מגדירים ומנהלים רשת SD-WAN שלמה. תוקף שפונה אליה מהרשת, בלי שם משתמש ובלי סיסמה, יכול להגיע ל-API שלה בהרשאות של משתמש admin. הציון הוא 9.8 מתוך 10, והחולשה נכנסה לקטלוג החולשות המנוצלות באותו יום שבו הרשומה שלה פורסמה.
מה החולשה?
לשרת יש כלל שאומר איזו כתובת ב-API דורשת הזדהות. הכלל מקבל את הכתובת שהגיעה בבקשה, משווה אותה לרשימה של כתובות מוגנות, ומחליט לפי ההשוואה אם להעביר את הבקשה הלאה. עד כאן הגיוני. הבעיה מתחילה בכך שאותה כתובת עצמה אפשר לכתוב ביותר מדרך אחת, כי תו בכתובת URL אפשר לרשום גם בקידוד אחוזים, כלומר כסימן אחוז ושתי ספרות שמייצגות אותו. שתי הצורות מגיעות לאותו מקום.
ומי שמפענח אותן אינו מי שבודק אותן. לפי הרשומה, הכלל קרא את הכתובת בצורה שבה היא נכתבה בבקשה, ואילו הרכיב שבאמת מטפל בבקשה פענח את הקידוד וקרא צורה אחרת. כך בקשה שנכתבה בצורה החלופית לא נראתה לכלל כמו הכתובת המוגנת, ובכל זאת הגיעה אליה. לסוג הבאג הזה קוראים טיפול לקוי בקידוד של כתובת, והרשומה מסמנת אותו כ-CWE-177.
הדירוג מפרט מה לא נדרש כדי לנצל את זה: לא הזדהות, לא הרשאה כלשהי על המערכת, ולא פעולה של מישהו בצד השני. הבקשה מגיעה מהרשת וזה מספיק. הפגיעה מדורגת גבוהה בסודיות, בשלמות ובזמינות, והתוצאה שהרשומה מתארת היא גישה ל-API בהרשאות של משתמש admin.
במערכת שכל תפקידה להגדיר איך רשת שלמה מתנהגת, חשבון admin אינו עוד חשבון בעוד שרת.
מי מושפע?
החולשה נוגעת ל-Cisco Catalyst SD-WAN Manager, מערכת הניהול המרכזית של רשתות SD-WAN. חשוב לדעת מה הרשומה עדיין לא מכילה: היא אינה מפרטת אילו גרסאות חשופות ואילו כבר מתוקנות. רשימת הגרסאות נמצאת בהודעת האבטחה של Cisco עצמה, ולא ב-NVD.
זה אינו ציוד שנמצא בבית, ולכן הגולש הפרטי לא צריך לעשות כאן דבר. בישראל מדובר במערכת שמותקנת בארגונים גדולים, אצל ספקי תקשורת ואצל גופים שמחברים הרבה סניפים לרשת אחת. מי שצריך לפעול הוא מי שמתחזק מערכת ניהול כזאת, וקודם כל מי שהמערכת שלו נגישה מהאינטרנט.
האם מנוצלת בפועל?
כן. ב-30 בספטמבר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. הכניסה לקטלוג באותו יום שבו פורסמה הרשומה ב-NVD אומרת שהניצול היה ידוע כבר בשלב הזה.
CISA קבעה לרשויות הפדרליות בארצות הברית לתקן עד 3 באוקטובר 2026, שלושה ימים מהפרסום. הקטלוג אינו אומר מי מנצל את החולשה ואינו מתאר איך.
מה עושים?
התחילו מהודעת האבטחה של Cisco. רשימת הגרסאות המתוקנות מופיעה שם, והיא אינה מופיעה ברשומת ה-NVD, כך שאין דרך להסיק מהרשומה לבד אם הגרסה שרצה אצלכם נמצאת בטווח.
בררו במקביל איזו גרסה זו. בלי התשובה הזאת אין מה להשוות לרשימה שבהודעה.
הצעד השלישי אינו עדכון אלא צמצום: בדקו מי בכלל יכול לפנות מהאינטרנט לממשק הניהול. הניצול נעשה בבקשת HTTP רגילה אל ה-API, ולכן כל הגדרה שמקטינה את קהל מי שיכול לשלוח בקשה כזאת מקטינה את החשיפה גם לפני שהעדכון מותקן.
ואחרי העדכון, מכיוון שהחולשה מנוצלת בשטח ומקנה הרשאות admin ולא רק קריאה של מידע, עברו על הגדרות המערכת ועל החשבונות שבה ובדקו שלא השתנה בהן דבר שאתם לא שינתם.