CISA alerta para exploração de falha crítica no Cisco SD-WAN
A agência de cibersegurança dos Estados Unidos, CISA, incluiu a vulnerabilidade CVE-2026-76504 em seu catálogo de falhas exploradas ativamente. O problema afeta o Cisco Catalyst SD-WAN Manager e permite que um invasor remoto, sem credenciais, contorne a autenticação e acesse a API do sistema com privilégios administrativos.
A Cisco confirmou que a vulnerabilidade já está sendo usada em ataques. Com pontuação CVSS de 9,8, o defeito está relacionado ao processamento inadequado da codificação de URI em requisições HTTP pelo componente que gerencia sessões de autenticação. Na prática, uma solicitação criada especialmente para explorar essa falha pode escapar das verificações de login e conceder acesso como administrador.
O risco é elevado porque a conta administrativa padrão tem a função netadmin, que permite realizar todas as operações disponíveis no dispositivo. Não é necessário obter uma senha: basta que o atacante consiga alcançar a API do Manager. Por esse motivo, sistemas acessíveis diretamente pela internet estão especialmente expostos.
Cisco recomenda instalar versões corrigidas
O time de resposta a incidentes de segurança da Cisco informou ter tomado conhecimento da exploração ativa em setembro de 2026. A falha foi identificada durante a análise de um chamado conduzida pelo Technical Assistance Center (TAC).
Até o momento, a empresa não divulgou quando os ataques começaram, quantas organizações podem ter sido afetadas, quem está por trás das ações ou o que os invasores fizeram após conseguir acesso administrativo.
Não há uma solução temporária capaz de eliminar a vulnerabilidade. A orientação da Cisco é atualizar o SD-WAN Manager para uma versão corrigida, conforme a linha instalada:
– 20.9: versão 20.9.10.1;
– 20.12: versão 20.12.8.2;
– 20.15: versão 20.15.6.1;
– 20.18: versão 20.18.4.1;
– 26.1: versão 26.1.2.1;
– 26.2: versão 26.2.1.
Instalações anteriores à versão 20.9 devem migrar para uma versão suportada que já inclua a correção. Já os clientes do Cisco SD-WAN Cloud, serviço administrado pela própria Cisco, estão protegidos a partir da versão 20.15.605 e não precisam realizar uma atualização adicional relacionada a esse caso.
A inclusão da CVE-2026-76504 no catálogo da CISA também estabeleceu um prazo para órgãos civis do Poder Executivo Federal dos Estados Unidos: as correções devem ser aplicadas até 3 de outubro de 2026.
Patches anteriores não corrigem a nova falha
A CVE-2026-76504 é independente de outras vulnerabilidades do Cisco SD-WAN corrigidas em 2026, entre elas as CVEs CVE-2026-20182, CVE-2026-20245 e CVE-2026-20262. Como as versões lançadas para resolver aqueles problemas são anteriores às necessárias para corrigir a falha atual, aplicar apenas os patches de maio ou junho não é suficiente.
Administradores devem confirmar a versão exata em execução e compará-la com a lista de versões corrigidas. Também é importante verificar se todos os componentes relevantes do ambiente foram atualizados, especialmente em estruturas com vários dispositivos ou instâncias do Manager.
Como reduzir a exposição antes da atualização
Enquanto não for possível instalar o patch em ambientes locais, a Cisco recomenda restringir o acesso ao Manager a partir de redes não confiáveis, incluindo a internet. Se a conectividade externa for indispensável, ela deve ser limitada a hosts conhecidos e autorizados. Os componentes de controle também precisam permanecer protegidos por firewall.
As interfaces administrativas não devem ficar expostas diretamente à internet. A recomendação abrange, entre outras, as portas 443, 22 e 830. Limitar a superfície acessível não substitui a atualização, mas pode reduzir as oportunidades de exploração enquanto a correção é planejada.
Onde procurar indícios de ataque
A Cisco divulgou indicadores que podem ajudar a identificar atividade suspeita. Um dos arquivos a examinar é:
`/var/log/nms/containers/service-proxy/serviceproxy-access.log`
Nesse registro, a busca deve considerar acessos associados a `j_security_check` originados de endereços IP desconhecidos ou não autorizados.
Outro arquivo relevante é:
`/var/log/nms/vmanage-server.log`
A análise deve observar chamadas a `j_security_check` relacionadas a nomes de usuário iniciados por `viptela-reserved-`, prefixo utilizado por contas reservadas a serviços do sistema.
A técnica identificada envolve codificar caracteres no caminho usado durante a autenticação. Um exemplo citado pela Cisco representa `/j_security_check` como `/%6a_security_check`, pois `%6a` corresponde à letra “j”. Como outros caracteres da requisição também podem ser codificados, a investigação não deve se limitar a essa sequência específica.
Nem toda ocorrência semelhante significa que houve invasão. Operações legítimas também podem gerar registros com características parecidas. Por isso, é necessário comparar os eventos com o comportamento habitual do ambiente, verificar a origem das conexões e avaliar se os horários e as contas envolvidas fazem sentido.
O que fazer se houver suspeita de comprometimento
Organizações que encontrem sinais de exploração podem abrir um chamado de severidade 3 com o Cisco TAC e incluir a CVE-2026-76504 no título. Antes de acionar o suporte, a Cisco recomenda executar o comando `request admin-tech` no Manager. Ele gera um arquivo técnico que poderá ser analisado pela equipe de atendimento.
A atualização deve fazer parte de uma resposta mais ampla quando houver suspeita de acesso indevido. Como o alerta não esclarece se instalar o patch remove automaticamente um invasor que já esteja no sistema, é prudente preservar registros, investigar atividades administrativas fora do padrão e avaliar possíveis alterações feitas no dispositivo. Caso haja evidência de comprometimento, a organização deve seguir seus procedimentos de resposta a incidentes e confirmar a integridade do ambiente antes de retomar a operação normal.
A prioridade é corrigir todas as instalações vulneráveis e impedir acessos desnecessários ao plano de gerenciamento. Como a falha não exige credenciais e já tem exploração confirmada, deixar o Manager exposto ou confiar apenas em atualizações anteriores pode manter a infraestrutura em risco.