思科于 2026 年 9 月 30 日发布安全公告，披露 Cisco Catalyst SD-WAN Manager（原 SD-WAN vManage）存在 CVSS 3.1 评分 9.8 的认证绕过漏洞，编号 CVE-2026-76504。未认证的远程攻击者只需能访问管理器 API，即可凭借 admin 用户身份执行操作，进而查看或修改其管理的整张 SD-WAN 网络配置。思科 PSIRT 已确认该漏洞自 2026 年 9 月起遭在野利用，CISA 同日将其纳入 KEV 目录。
事件概述
Catalyst SD-WAN Manager 是 Cisco SD-WAN 方案的集中控制台，用于监控与向整张 fabric 下发策略，大型部署下单个控制台可管理数千台设备。思科在一例 TAC 支持案例中发现异常后确认漏洞，并指出缺陷影响产品本身，与具体配置无关，不存在可通过关闭功能规避的设置项。
这是思科自 5 月以来第四次修补 SD-WAN Manager 的高危漏洞，此前两次均为 vdaemon 服务的未认证对等认证缺陷，与本次的 API 认证路径无关，此前已完成升级的实例仍需再次修补。
技术细节
漏洞根因为 API 会话认证管理对 URI 编码处理不当，归类为 CWE-177。攻击者发送带 URI 编码字符的特制 HTTP 请求，使原本用于限制访问某个 API 端点的认证规则无法匹配，请求在无凭据的情况下直接抵达受保护端点。
思科给出的入侵指标指向 j_security_check 登录处理器路径中的字符 “j”（编码为 %6a），并强调这仅是一个示例，攻击者可以对路径中任意单个字符进行编码：
# 检测示例：路径中带 URI 编码字符的登录请求
POST /%6a_security_check HTTP/1.1
# 建议检查的日志
/var/log/nms/containers/service-proxy/serviceproxy-access.log
/var/log/nms/vmanage-server.log # 关注以 viptela-reserved- 开头的用户名公告未说明受影响客户数量、攻击起始时间与攻击者身份，也未说明升级是否能清除已获得访问权限的攻击者。
影响评估
攻击者无需账号、无需窃取会话、无需用户交互，仅需网络可达，攻击复杂度低。默认 admin 用户持有 netadmin 角色，思科描述该角色可对设备执行所有操作；由于 Manager 负责向 fabric 内每台边缘路由器下发配置与策略，拿到控制台的 admin API 等同于获得整张 WAN 的管理能力。互联网暴露的本地部署实例风险最高，CIS 将该漏洞对政府与企业实体的风险评级定为 HIGH。
修复建议
思科已发布修复版本，官方未提供临时缓解措施，建议在常规补丁周期之外应急升级：
- 20.9：20.9.10.1（早于 20.9 的版本需迁移至受支持分支）
- 20.12：20.12.8.2
- 20.15：20.15.6.1
- 20.18：20.18.4.1
- 26.1：26.1.2.1
- 26.2：26.2.1
Cisco SD-WAN Cloud（Cisco 托管）已在 20.15.605 中修复，客户无需操作。本地部署如必须保留互联网访问，应临时将 Manager 访问限制在已知可信主机，并置于过滤设备之后。安全团队需同步排查失陷迹象，检索上述日志中来自未知 IP 的 j_security_check 请求。Rapid7 建议按应急流程处理，并在升级前审计暴露面。此外，公告未列出 20.10 至 20.16 等分支以及 SD-WAN Cloud-Pro、FedRAMP 部署类型，运行这些版本的组织不应把公告的沉默理解为不受影响。