Cisco heeft een ernstig beveiligingslek gedicht in Cisco Catalyst SD‑WAN Manager (voorheen vManage). Door een fout in de verwerking van URI-encoding in een API‑aanroep kunnen onbevoegde aanvallers het inlogmechanisme omzeilen en rechtstreeks administratieve toegang krijgen tot het systeem. In de praktijk betekent dit: volledige controle over de beheer‑API van je SD‑WAN‑omgeving. (cisco.com)

Het lek is geregistreerd als CVE‑2026‑76504, met een CVSS‑score van 9,8 (kritiek). De kwetsbaarheid zit in de sessiegebaseerde authenticatie van de API: een slim geëncodeerd verzoek kan een regel omzeilen die normaal toegang tot een specifiek API‑endpoint blokkeert. Cisco meldt dat er in september 2026 actief misbruik is gezien. Ook onafhankelijke onderzoekers signaleren “exploited in the wild”. (cisco.com)

Wie is geraakt en wat is er beschikbaar?

• Product: uitsluitend Cisco Catalyst SD‑WAN Manager (vManage). Configuratie doet er niet toe: alle installaties zijn potentieel kwetsbaar. (cisco.com)
• Patches: Cisco heeft fixes uitgebracht. Eerste vaste releases zijn o.a. 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 en 26.2.1. Voor Cisco SD‑WAN Cloud (Cisco Managed) is versie 20.15.605 al uitgerold. (cisco.com)
• Workaround: niet beschikbaar. Cisco biedt wel een tijdelijke “Live Protect”‑shield, maar benadrukt dat alleen upgraden het probleem echt verhelpt. (cisco.com)

Waarom dit ertoe doet
Catalyst SD‑WAN Manager is het hart van je SD‑WAN‑besturing. Een admin‑sessie op deze component opent de deur naar netwerkbrede wijzigingen, van policy‑aanpassingen tot device‑beheer. Precies daarom adviseert Cisco om buiten de reguliere change‑cyclus om te patchen als je systeem aan internet is blootgesteld. Onderzoekers wijzen er bovendien op dat dit niet de eerste keer is dat er authenticatie‑bypassen in SD‑WAN‑besturingscomponenten opduiken; snelle remediatie is dus cruciaal. (rapid7.com)

Zo check je of je bent aangevallen

• Controleer de Catalyst SD‑WAN Manager‑logs op verdachte aanroepen naar j_security_check met een geëncodeerd teken in het pad, bijvoorbeeld “/%6a_security_check”. Let op: dit is slechts een voorbeeld; elk enkel geëncodeerd teken kan zijn gebruikt. (cisco.com)
• Kijk in:
  • /var/log/nms/containers/service-proxy/serviceproxy-access.log
  • /var/log/nms/vmanage-server.log
    op verzoeken vanaf onbekende of ongeautoriseerde IP‑adressen, eventueel gekoppeld aan gebruikersnamen die beginnen met “viptela‑reserved‑”. Vergelijk altijd met je normale patroon om valse positieven te voorkomen. (cisco.com)

Aanbevolen acties (nu)

• Patch met prioriteit naar een vaste release (zie versies hierboven). Plan dit desnoods als spoedchange. (cisco.com)
• Is je omgeving on‑prem en (deels) internet‑exposed? Beperk tijdelijk toegang tot alleen vertrouwde hosts en zet een filterende firewall voor de SD‑WAN‑control‑componenten. Dit is geen vervanging voor patchen. (cisco.com)
• Overweeg de tijdelijke Live Protect‑shield als tussenstap, met de genoemde beperkingen. (cisco.com)
• Voer een IOC‑check uit zoals hierboven, roteer administrator‑wachtwoorden/‑tokens en beoordeel recente beheersessies. (cisco.com)

Tot slot
Heb je een vermoeden van inbraak, open dan een TAC‑case bij Cisco (Severity 3) met vermelding van CVE‑2026‑76504 en lever een “admin‑tech”‑bundle aan voor analyse. Verschillende securitypartijen rapporteren actieve uitbuiting; handel dus snel en voorkom dat aanvallers via de beheer‑API je SD‑WAN‑fabric overnemen. (cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.