Cisco SD-WAN Manager: patch CVE-2026-76504 dan semak log

Pasukan yang mengendalikan Cisco Catalyst SD-WAN Manager perlu semak versi dan sejarah akses API pada masa yang sama. CVE-2026-76504 membolehkan akses API dengan hak admin tanpa authentication awal. Rekod CISA KEV menunjukkan vulnerability ini diketahui telah dieksploitasi. 1 2

Ringkasan untuk pemilik SD-WAN

Rekod NVD yang dikumpulkan memuatkan penilaian Cisco: CVSS v3.1 9.8, Critical. Penilaian NVD

CVE ini melibatkan authentication bypass dalam cara sistem mengurus authentication sesi API. CISA menambahkannya ke KEV pada 30 September 2026. Skor menunjukkan tahap keterukan teknikal. Penyenaraian dalam KEV pula menjadi bukti berasingan bahawa vulnerability ini telah dieksploitasi. 1 2

Sebagai langkah awal, lantik seorang yang bertanggungjawab mengurus perubahan dan seorang lagi untuk semakan keselamatan. Minta bukti versi semasa dan tentukan siapa yang boleh mengakses sistem pengurusan. Kemudian, selaraskan kerja patch dengan triage log. Pembahagian tugas ini dicadangkan supaya tiket kemas kini hanya ditutup selepas akses yang mencurigakan disemak.

Apa yang disahkan pada 30 September

Rekod NVD menyatakan tarikh penerbitan 30 September 2026. Tarikh penyenaraian KEV juga pada hari yang sama. Cisco PSIRT menyatakan pihaknya mengetahui eksploitasi pada September 2026. Tarikh ini menjadi asas liputan berita semasa. Namun, ia tidak membuktikan skala serangan atau kewujudan mangsa di Malaysia. 1 2 3

Bahan yang dikumpulkan belum mengesahkan kaitan dengan ransomware. Artikel ini tidak membuat kesimpulan tentang kewujudan PoC awam, identiti threat actor atau tempoh pencerobohan di mana-mana organisasi. Untuk menilai risiko tempatan, mulakan dengan aset sendiri dan bukti yang ada. Jangan anggap semua pemasangan mengalami keadaan yang sama. 2

Bagaimana authentication API terjejas

Menurut penerangan NVD, puncanya ialah cara sistem mengendalikan URI encoding dalam HTTP request yang tidak betul. Masalah ini boleh membolehkan peraturan authentication bagi endpoint API tertentu dipintas. Penyerang dari jauh yang belum melalui authentication boleh mendapat akses API sebagai admin jika exploitation berjaya. Inilah scope impak yang dinyatakan oleh sumber. 1

Untuk pertahanan, bezakan akses melalui rangkaian dengan authorization dalam aplikasi. Semasa menyemak inventori, tentukan sama ada API pengurusan boleh dicapai dari rangkaian yang tidak dipercayai. Semasa menyemak akaun pula, kenal pasti penggunaan hak admin yang memang dijangka. Kedua-dua semakan ini membantu menentukan perkara yang perlu disiasat dahulu, tanpa cuba mengulangi exploit pada sistem produksi.

Rajah ini berakhir pada akses API admin. Ia tidak menunjukkan pengambilalihan router cawangan, kecurian data atau lateral movement. Bahan yang digunakan tidak membuktikan hasil tersebut. Dalam laporan dalaman, asingkan impak yang mungkin berlaku daripada tindakan yang benar-benar direkodkan dalam log.

Padankan release sebelum merancang kemas kini

Cisco menyatakan vulnerability ini menjejaskan Catalyst SD-WAN Manager tanpa mengira konfigurasi sistem. Jadual berikut menyenaraikan first fixed release, iaitu release pertama yang mengandungi pembaikan. Ini bukan arahan supaya semua organisasi memilih cabang release yang sama. 3

Cabang release	First fixed release
Sebelum 20.9	Migrasi ke release yang telah dibaiki
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1

Sumber jadual: bahagian Fixed Software dalam advisory Cisco. 3

Minta pentadbir merekodkan nombor release penuh dalam tiket perubahan. Nama cabang sahaja tidak cukup untuk dibandingkan dengan jadual. Jika perkhidmatan dikendalikan oleh penyedia, minta pengesahan bertulis tentang versi dan status pembaikan aset anda. Jangan tandakan semua produk Cisco sebagai terjejas hanya kerana organisasi menggunakan vendor yang sama.

Triage log dengan konteks operasi

Cisco mengarahkan semakan serviceproxy-access.log dan vmanage-server.log. Semak akses berkaitan j_security_check daripada IP yang tidak dikenali atau tidak dibenarkan. Semakan ini turut merangkumi konteks akaun yang bermula dengan viptela-reserved-. Vendor juga mengingatkan tentang kemungkinan false positive. 3

Penganalisis disarankan membandingkan masa peristiwa dengan jadual penyelenggaraan, senarai sumber akses yang diluluskan dan pemilik akaun. Simpan hasil semakan serta alasan jika peristiwa itu ditutup sebagai aktiviti sah. Nama akaun sistem sahaja tidak cukup untuk menentukan sama ada insiden berlaku. Semak konteks penggunaannya dan rujuk Cisco TAC jika masih ragu-ragu tentang maksud rekod tersebut.

NHS England mengesyorkan semakan sama ada sistem telah dikompromi atau pengumpulan artifak sebelum patch. Ini kerana kemas kini boleh menghilangkan bukti penting. 4 Pasukan tempatan disarankan menetapkan siapa yang bertanggungjawab menyimpan salinan log dan merekodkan zon masa sebelum perubahan bermula. Langkah ini dicadangkan untuk menjaga bukti. Ia bukan dakwaan bahawa pemeriksaan telah dijalankan pada sistem pembaca.

Patch dan sekatan akses mempunyai tujuan berbeza

Cisco menyediakan pembaikan perisian dan menyatakan tiada workaround yang menyelesaikan vulnerability ini. Untuk pemasangan on-prem, vendor mencadangkan supaya akses dari rangkaian yang tidak dipercayai disekat. Apabila akses diperlukan, hadkannya kepada host yang dipercayai. 3

Dalam pelan perubahan, asingkan status mitigation sementara daripada status patch. Nyatakan scope sekatan, siapa yang meluluskannya dan cara menyemak bahawa operasi sah masih berjalan. Jika akses pengurusan perlu dibuka untuk penyelenggaraan, rekodkan tempohnya dan siapa yang bertanggungjawab. Elakkan pengecualian kekal yang tidak disemak semula.

Tindakan praktikal untuk pasukan Malaysia

Gunakan tiket yang dikongsi oleh pasukan rangkaian, SOC dan penyedia sokongan supaya status teknikal direkodkan di tempat yang sama. Senaraikan setiap instance Manager, pihak yang mengendalikannya, release semasa, sasaran pembaikan dan keputusan triage. Jika ada maklumat yang belum diperoleh, rekodkan siapa yang perlu membuat susulan dan bila semakan seterusnya akan dibuat. Kekurangan maklumat tidak bermakna sistem selamat.

Selepas kemas kini, simpan bukti versi baharu. Jalankan semakan fungsi pengurusan yang diluluskan organisasi. Tiket dicadangkan ditutup hanya selepas versi dipadankan dengan pembaikan vendor, akses pengurusan disemak dan keputusan bagi findings log direkodkan. Jika triage menunjukkan kemungkinan sistem dikompromi, teruskan proses incident response secara berasingan walaupun tiket patch telah selesai.

Artikel ini tidak melaporkan ujian exploit, hasil pemeriksaan aset atau insiden tempatan. Tujuannya adalah untuk membantu pasukan membuat keputusan berdasarkan advisory dan bukti yang dikumpulkan. Siasatan lanjut masih diperlukan jika data operasi sendiri menunjukkan keperluan itu.

References

[1] NVD — CVE-2026-76504. Rekod dalam evidence.json dikumpulkan pada 1 Oktober 2026; cubaan membuka halaman web secara terus tidak berjaya.

[2] CISA — Known Exploited Vulnerabilities. Entri CVE dalam evidence.json mempunyai dateAdded 30 September 2026; dikumpulkan pada 1 Oktober 2026.

[3] Cisco — API Authentication Bypass Vulnerability. Advisory 1.0, dibaca melalui web pada 1 Oktober 2026.

[4] NHS England — CC-4861. Panduan menyimpan artifak dibaca melalui hasil carian web pada 1 Oktober 2026; cubaan membuka halaman secara terus gagal.