Cisco confirma exploração de falha que permite acesso administrativo sem senha
A Cisco confirmou que invasores exploraram uma vulnerabilidade crítica no Catalyst SD-WAN Manager. Identificada como CVE-2026-76504, a falha recebeu nota 9,8 de 10 no CVSS e permite obter privilégios administrativos sem fornecer nome de usuário ou senha. Segundo a empresa, os ataques ocorreram em setembro.
O problema está na forma como o sistema interpreta determinadas requisições HTTP à API, especialmente a codificação de endereços URI. Uma solicitação manipulada pode levar a verificação de segurança a interpretar um caminho diferente daquele que o Manager efetivamente processa. Com isso, o mecanismo de autenticação que deveria limitar o acesso a um endpoint específico pode ser contornado.
Para explorar a vulnerabilidade, o atacante precisa conseguir enviar requisições à API do Catalyst SD-WAN Manager. Se tiver essa possibilidade, pode agir como o usuário `admin`. Por padrão, essa conta possui a função `netadmin`, que permite executar todas as operações nos dispositivos gerenciados pela plataforma.
O método lembra ataques observados no mesmo mês contra o Oracle PeopleSoft: em ambos os casos, a manipulação da codificação da URL faz com que a checagem de segurança e o processamento da requisição tratem o caminho de maneiras diferentes. Essa divergência abre espaço para contornar os controles de acesso.
Atualizações corrigem a vulnerabilidade
A Cisco distribuiu correções em diferentes versões do produto, de acordo com cada linha de lançamento: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 e 26.2.1. Organizações que utilizam versões anteriores à 20.9 precisam migrar para uma edição corrigida.
Não existe uma solução alternativa permanente para eliminar o risco. Até que a atualização seja instalada, a recomendação é restringir o acesso ao Manager por redes não confiáveis, inclusive pela internet. As conexões devem ser aceitas apenas de hosts conhecidos, e os componentes de controle precisam permanecer protegidos por firewall.
A descoberta ocorreu durante o atendimento de um chamado no centro de assistência técnica da Cisco. A exploração foi confirmada pela equipe de resposta a incidentes de segurança de produtos da própria companhia. A inclusão da falha entre vulnerabilidades exploradas reforça que o risco não é apenas teórico: há evidências de uso em ataques.
O que administradores devem fazer
A prioridade é identificar quais instalações do Catalyst SD-WAN Manager estão expostas e verificar a versão em execução. Ambientes que ainda não receberam a correção devem ser tratados como potencialmente vulneráveis, sobretudo se a API puder ser alcançada a partir da internet ou de redes amplas sem controles rigorosos.
Depois de aplicar a atualização, é importante revisar os registros de acesso e de atividade administrativa em busca de solicitações inesperadas à API, ações realizadas pela conta `admin` e alterações que não correspondam a atividades autorizadas. A análise deve considerar o período em que a instância permaneceu sem correção e ser ampliada caso haja sinais de acesso indevido.
A restrição de rede precisa ser aplicada com o menor nível de acesso necessário. Em vez de permitir conexões de segmentos inteiros, as equipes podem limitar a administração a endereços e sistemas previamente autorizados. Essa medida reduz a possibilidade de exploração enquanto a atualização é preparada, mas não substitui a instalação da versão corrigida.
Também é recomendável confirmar que os componentes de controle não estejam acessíveis diretamente por redes públicas e que as regras de firewall estejam atualizadas. A exposição desnecessária de interfaces administrativas aumenta o número de possíveis caminhos para um ataque, especialmente quando uma falha permite contornar a autenticação.
Por fim, a organização deve documentar a versão instalada, a data da correção e as medidas de contenção adotadas. Como a vulnerabilidade concede privilégios amplos, qualquer indício de exploração deve ser investigado com atenção e tratado conforme os procedimentos internos de resposta a incidentes. A Cisco informou ainda que o catálogo da CISA reúne oito vulnerabilidades de SD-WAN da empresa incluídas em 2026, o que torna importante manter acompanhamento contínuo das atualizações de segurança desses equipamentos.