Cisco warns of new SD-WAN zero-day exploited in attacks

Vulnérabilité critique exploitée dans Cisco Catalyst SD-WAN Manager

Cisco a émis un correctif pour une vulnérabilité critique de type “zero-day” affectant son logiciel Catalyst SD-WAN Manager (anciennement vManage), activement exploitée par des attaquants pour obtenir des privilèges d’administrateur à distance.

Points clés :

• Nature de l’attaque : Les attaquants contournent les règles d’authentification de l’API via une requête HTTP spécialement conçue utilisant un encodage URI malveillant.
• Indicateurs de compromission : Recherche de la séquence %6a (utilisée pour encoder le caractère « j ») dans les requêtes malveillantes.
• Contexte : Il s’agit de la cinquième faille zero-day exploitée sur des solutions SD-WAN de Cisco depuis le début de l’année 2026.

Vulnérabilité identifiée :

• CVE-2026-76504 : Faille de contournement d’authentification liée à une mauvaise gestion de l’encodage URI dans l’API.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs logiciels fournis par Cisco. Les versions corrigées sont : 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 et 26.2.1. Les versions antérieures à 20.9 doivent impérativement être migrées.
• Audit de sécurité : Examiner les journaux (serviceproxy-access.log et vmanage-server.log) pour détecter des entrées suspectes liées à j_security_check provenant d’adresses IP non autorisées.
• Support technique : En cas de suspicion de compromission, collecter les fichiers « admin-tech » et ouvrir un dossier auprès du support technique de Cisco (TAC).

Source