Cisco waarschuwt organisaties voor actief misbruik van een kritieke kwetsbaarheid in de Cisco Catalyst SD-WAN Manager en heeft vandaag beveiligingsupdates uitgebracht om het probleem te verhelpen. De Cisco Catalyst SD-WAN Manager is een oplossing waarmee organisaties Cisco SD-WAN kunnen uitrollen, configureren en beheren. SD-WAN staat voor Software-Defined Wide Area Network en is een oplossing waarmee organisaties netwerkinfrastructuur en -connectiviteit op meerdere locaties kunnen beheren.

Het afgelopen jaar zijn al meerdere kwetsbaarheden (CVE-2026-20127, CVE-2026-20128, CVE-2026-20133, CVE-2026-20122, CVE-2026-20245 en CVE-2026-20262) in de oplossing misbruikt bij aanvallen. Het nieuwste beveiligingslek (CVE-2026-76504) bevindt zich in het API session-based authentication management. Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller als administrator toegang tot het systeem krijgen. Het probleem wordt veroorzaakt door de manier waarop het systeem omgaat met URI encoding in een HTTP request.

Door het versturen van een speciaal geprepareerd request kan een aanvaller de authenticatie omzeilen en als admin toegang tot een specifiek API endpoint krijgen. Cisco stelt dat het deze maand ontdekte dat aanvallers misbruik van het probleem maken. Details over deze aanvallen zijn echter niet gegeven. Naast beveiligingsupdates om het probleem te verhelpen zijn er ook Indicators of Compromise (IoC's) gepubliceerd waarmee organisaties kunnen kijken of hun Catalyst SD-WAN Manager-systemen zijn gehackt.

Securitybedrijf Rapid7 waarschuwde eerder dat SD-WAN-omgevingen interessant zijn voor aanvallers, omdat ze zo verkeer van de aangevallen organisatie kunnen herrouteren, communicatie onderscheppen en malafide configuraties doorvoeren. "Dat is de echte paradox hier. Dezelfde architectuur die verdedigers schaalbaarheid en eenvoud biedt, kan aanvallers ook een toegangspunt bieden met catastrofale invloed."