Alert GCSA-26244 - Vulnerabilita' critica in Cisco Catalyst SD-WAN Manager

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26244
       data: 01 ottobre 2026
     titolo: Vulnerabilita' critica in Cisco Catalyst SD-WAN Manager

******************************************************************

:: Descrizione del problema

   Cisco ha rilasciato nuove versioni del prodotto Catalyst SD-WAN Manager
   con le quali viene risolta una vulnerabilita' di livello critico,
   che risulta attivamente sfruttata in rete.

   CVE-2026-76504 (CVSS score of 9.8)
   Potrebbe consentire ad un attaccante remoto non autenticato di ottenere accesso con privilegi
   di amministratore, all'API del sistema interessato e, di conseguenza, la possibilita' di visualizzare
   o modificare la configurazione di tutti i dispositivi SD-WAN controllati da quell'istanza del Manager.

   Potrebbe essere sfruttarla inviando una richiesta HTTP artefatta, contenente un carattere codificato in URI;
   cio' permette di eludere una regola di autenticazione posta a protezione di uno specifico endpoint API.

   Il vendor raccomanda di verificare i log serviceproxy-access.log e vmanage-server.log, per individuare
   richieste HTTP anomale verso l'endpoint j_security_check, anche con caratteri codificati nell'URI (es. /%6a_security_check),
   nonche' attivita' sospette associate a utenze con prefisso viptela-reserved-.

   Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Apparati interessati

   Cisco Catalyst SD-WAN Manager versioni precedenti alle seguenti

   26.2.1, 26.1.2.1, 20.18.4.1, 20.15.6.1, 20.12.8.2, e 20.9.10.1


:: Impatto

   Authentication Bypass
   Bypass delle funzionalita' di sicurezza (SFB)


:: Soluzioni

   Si consiglia di aggiornare il prima possibile ad una versione patchata del software,
   di adottare misure per limitare l'accesso da reti non protette, di proteggere gli apparati
   tramite firewall, disabilitare l'accesso via HTTP all'interfaccia web di amministrazione
   di Catalyst SD-WAN Manager, disattivare i servizi di rete come HTTP e FTP se non necessari,
   modificare la password di amministratore predefinita e monitorare il log del traffico per
   eventuali anomalie.

   Cisco Catalyst SD-WAN Hardening Guide
   https://sec.cloudapps.cisco.com/security/center/resources/Cisco-Catalyst-SD-WAN-HardeningGuide


:: Riferimenti

   Cisco Security Advisories
   https://sec.cloudapps.cisco.com/security/center/publicationListing.x

   Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability
   https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU

   SecurityWeek
   https://www.securityweek.com/cisco-patches-exploited-catalyst-sd-wan-zero-day-vulnerability/

   The Hacker News
   https://thehackernews.com/2026/09/cisco-warns-of-attackers-exploiting.html

   Mitre CVE
   https://www.cve.org/CVERecord?id=CVE-2026-76504


GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCar4xjwAKCRDBnEyTZRJg
QhIhAJ9jcqbk1qQAUlR8wCF6XpAdkJPkQwCfYnEdmBKd42utG7L3iAymT5T/p4M=
=7GCt
-----END PGP SIGNATURE-----