Cisco, aktif olarak istismar edilen SD-WAN sıfır gün açığı konusunda uyardı

Cisco, Catalyst SD-WAN Manager'daki CVE-2026-76504 olarak izlenen kritik sıfır gün açığı için güvenlik güncellemeleri yayımladı. Şirket, açığın aktif olarak istismar edildiğini Eylül ayında (September 2026) öğrendiğini belirtti ve müşterilere düzeltilmiş bir yazılım sürümüne yükseltme yapmalarını önerdi.

Açık, sistem yapılandırmasından bağımsız olarak tüm kurulumları etkiliyor. Sorun, API oturum tabanlı kimlik doğrulama yönetimine yönelik HTTP isteklerinde URI kodlamasının işlenişinden kaynaklanıyor. Cisco'ya göre kimliği doğrulanmamış uzak bir saldırgan, özel hazırlanmış bir istek göndererek kimlik doğrulama kuralını aşabilir ve yönetici ayrıcalıkları elde edebilir. Şirket saldırılar hakkında daha fazla ayrıntı paylaşmadı.

Cisco, saldırganların kötü amaçlı isteklerde URI kodlamasıyla “j” karakterini temsil eden %6a değerini kullandığını söyledi. İncelemeler için, bilinmeyen veya yetkisiz IP adreslerinden gelen j_security_check kayıtlarının /var/log/nms/containers/service-proxy altındaki serviceproxy-access.log dosyasında ve /var/log/nms/ altındaki vmanage-server.log dosyasında aranmasını önerdi. Olası bir ihlali değerlendirmek için müşteriler Cisco TAC ile iletişime geçebilir; Cisco önce admin-tech dosyalarının toplanmasını önerdi.

Cisco'nun duyurusu, istismar edilen SD-WAN açıkları dizisinin ortasında geldi. BleepingComputer, CVE-2026-76504'ün yılbaşından bu yana aktif olarak istismar edilen beşinci SD-WAN sıfır gün açığı olduğunu bildiriyor. Cisco daha önce şubat, mayıs ve haziran başında diğer dört SD-WAN açığının aktif olarak istismar edildiğini açıklamıştı. Kaynak ayrıca CISA'nın Kasım 2021'den bu yana vahşi saldırılarda istismar edilen 90 Cisco açığını işaretlediğini bildiriyor.