CISA: bypass di autenticazione Cisco Catalyst SD-WAN sotto sfruttamento attivo

L'Agenzia per la cybersicurezza e la sicurezza delle infrastrutture degli Stati Uniti (CISA) ha ufficialmente aggiunto una grave vulnerabilità di bypass dell'autenticazione che interessa Cisco Catalyst SD-WAN Manager al suo catalogo delle vulnerabilità note sfruttate (KEV), confermando che la falla è attualmente sotto sfruttamento attivo. La voce, pubblicata mercoledì, rappresenta l'ottava CVE relativa a Cisco SD-WAN a entrare nella lista KEV solo nel 2026, sottolineando come gli aggressori considerino sempre più questa piattaforma di gestione di rete un obiettivo primario.

La vulnerabilità, tracciata come CVE-2026-76504 e con un punteggio di gravità CVSS di 9,8 su 10, consente a un aggressore remoto non autenticato di ottenere pieno accesso amministrativo al sistema interessato. La causa principale risiede nel modo in cui il prodotto gestisce la codifica URI nelle richieste HTTP inviate alla sua API. Nello specifico, il software non decodifica correttamente i caratteri codificati in esadecimale nel percorso della richiesta, il che consente a un aggressore di creare una richiesta HTTP appositamente formata che aggira completamente la normale procedura di accesso. Lo sfruttamento riuscito garantisce all'aggressore l'accesso diretto all'interfaccia di programmazione delle applicazioni (API) con i privilegi dell'utente amministratore integrato, permettendogli di visualizzare, modificare o interrompere l'infrastruttura di rete gestita.

Cisco ha comunicato di essere venuta a conoscenza dello sfruttamento attivo di CVE-2026-76504 per la prima volta a settembre 2026. L'azienda non ha condiviso dettagli sulla portata degli attacchi, sull'identità degli attori della minaccia o su quante organizzazioni siano state compromesse. Tuttavia, ha rilasciato indicatori di compromissione (IoC) per aiutare i difensori a rilevare potenziali intrusioni. I team di sicurezza dovrebbero controllare il file "/var/log/nms/containers/service-proxy/serviceproxy-access.log" alla ricerca di voci relative a "j_security_check" provenienti da indirizzi IP sconosciuti o non autorizzati, e ispezionare "/var/log/nms/vmanage-server.log" per voci simili, prestando particolare attenzione ai nomi utente che iniziano con "viptela-reserved-". Qualsiasi voce di registro di questo tipo potrebbe indicare un tentativo o un avvenuto sfruttamento.

Le agenzie del ramo esecutivo civile federale (FCEB) degli Stati Uniti hanno ricevuto la scadenza del 3 ottobre 2026 per applicare le patch necessarie, in linea con la direttiva operativa vincolante che regola le voci KEV. I ricercatori di sicurezza hanno notato il ripetersi di prodotti Cisco SD-WAN nella lista. "Cisco SD-WAN sembra un elemento sempre presente nella lista delle vulnerabilità note sfruttate della CISA, con otto CVE del 2026 finite nel KEV solo quest'anno – questo dovrebbe essere un segnale estremamente chiaro che gli aggressori hanno riconosciuto il valore della piattaforma, ed è improbabile che questa tendenza rallenti", ha dichiarato Jake Knott, responsabile dell'intelligence sulle minacce di watchTowr, in una nota. Ha aggiunto che, essendo uno strumento a pannello unico utilizzato dalle aziende per gestire, configurare e monitorare grandi reti, la piattaforma è naturalmente un obiettivo attraente per gli avversari.

Cisco ha reso disponibili versioni corrette del software e invita tutte le organizzazioni che utilizzano Catalyst SD-WAN Manager ad aggiornare immediatamente. Oltre all'applicazione delle patch, gli amministratori dovrebbero cercare richieste POST verso qualsiasi variante codificata in URL di "/j_security_check" e rivedere i registri di accesso per individuare segni di compromissione. Per le aziende che fanno affidamento su sistemi di gestione di rete centralizzati, è fondamentale un rafforzamento proattivo dell'infrastruttura e la consulenza con partner IT orientati alla sicurezza come AEU-I può aiutare a valutare e rafforzare le difese contro le minacce note prima che vengano sfruttate.

Sebbene CVE-2026-76504 sia una vulnerabilità critica in un prodotto aziendale specifico, l'incidente rafforza una lezione universale per i proprietari di siti web e per i team IT: le interfacce di gestione di qualsiasi tipo, che siano per reti, pannelli di hosting o dashboard cloud, non devono mai essere esposte all'Internet pubblica senza un'autenticazione forte e un'applicazione regolare delle patch. L'advisory di Cisco non contiene soluzioni temporanee che mitigano completamente il rischio, quindi l'aggiornamento a una versione corretta rimane l'unico rimedio affidabile.