2026年10月1日 摘要
Cisco Catalyst SD-WAN Manager 正面临一个严重的零日漏洞，该漏洞已经在野外被利用。
黑客与破解
该漏洞被追踪为 CVE-2026-76504，允许未经身份验证的攻击者绕过身份验证机制，获得对 SD-WAN 管理 API 的管理员级访问权限。由于 SD-WAN Manager 位于网络管理平面的中心，这不是一个应该等待下一个常规补丁周期的漏洞。
发生了什么？
问题出在 SD-WAN Manager 处理 URI 编码的方式。攻击者可以发送一个使用 URL 编码精心构造的请求，以绕过身份验证检查。尽管攻击者没有提供有效的凭据，应用程序仍然会处理该请求。
威胁情报平台
简单来说，攻击者可以在没有钥匙的情况下找到绕过前门的方法。
这为什么重要
关注点不仅仅是获得对一个应用程序的访问权限。SD-WAN Manager 用于管理更广泛的 SD-WAN 环境。如果攻击者获得了管理 API 的访问权限，他们可能会进行影响通过该平台管理的网络基础设施的更改。这使得管理平面成为真正的关注点。
零日漏洞报告
安全团队应该关注什么？
Cisco 建议检查 SD-WAN Manager 日志中是否有异常活动，包括：
service
proxy-access.log
vmanage-server.log
涉及 j_security_check 的可疑请求
身份验证请求的 URL 编码变体
来自不熟悉或未经授权的 IP 地址的连接
涉及 viptela-reserved 账户的意外活动
如果发现任何可疑活动，请将其与同一时间段内的管理活动进行关联。目标是确定系统是仅仅被探测还是实际上被攻破。
云安全解决方案
立即打补丁
Cisco 已为受支持的版本发布了修复：
20.9 → 20.9.10.1
20.12 → 20.12.8.2
20.15 → 20.15.6.1
20.18 → 20.18.4.1
26.1 → 26.1.2.1
26.2 → 26.2.1
根据 Cisco 的说法，没有替代解决方案。在升级完成之前，SD-WAN Manager 的访问应尽可能限制在可信来源。
要点
CVE-2026-76504 是一个很好的提醒，有时一个非常小的应用程序缺陷可能会带来更大的安全后果。在这里，一个 URL 编码问题已经成为对集中网络管理平台的身份验证绕过。
因此，对于安全团队，响应应该是简单明了的：打补丁。追踪利用情况。检查补丁之前发生了什么。
威胁情报平台
因为对于一个被积极利用的零日漏洞，知道漏洞已被修复只是故事的一半。