Cisco SD-WAN Manager Zero-Day: CVE-2026-76504 macht Fremde zum Admin

Der Cisco SD-WAN Manager Zero-Day CVE-2026-76504 ist seit dem 30. September 2026 öffentlich – und wird laut Cisco bereits angegriffen. Wer die Management-Konsole seines SD-WAN erreichen kann, wird ohne Zugangsdaten zum Administrator. Cisco stuft die Lücke als kritisch mit CVSS-3.1-Basiswert 9.8 ein. Einen Workaround, der die Schwachstelle behebt, gibt es nicht.

Was der Cisco SD-WAN Manager Zero-Day technisch tut

Betroffen ist die sitzungsbasierte API-Authentifizierung des Catalyst SD-WAN Manager, früher als SD-WAN vManage bekannt. Die Software steuert zentral ganze SD-WAN-Fabrics. Cisco beschreibt die Ursache als fehlerhafte Behandlung der URI-Kodierung in HTTP-Anfragen (CWE-177). Dadurch umgeht eine präparierte Anfrage jene Authentifizierungsregel, die einen bestimmten API-Endpunkt schützen soll.

Das Ergebnis ist hart: Ein nicht authentifizierter Angreifer aus der Ferne spricht die API mit den Rechten des Admin-Nutzers an. Laut Advisory betrifft das den Catalyst SD-WAN Manager unabhängig von der Systemkonfiguration. Cisco fand den Fehler nach eigenen Angaben bei der Bearbeitung eines TAC-Support-Falls; das PSIRT wurde im September 2026 auf laufende Angriffe aufmerksam.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Patches, Fristen und Indikatoren

Cisco nennt als erste fehlerbereinigte Releases 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 sowie 26.2.1. Ältere Zweige als 20.9 müssen migriert werden. Für Cisco SD-WAN Cloud (Cisco Managed) steckt der Fix in Release 20.15.605; dort ist laut Cisco keine Nutzeraktion nötig. Die US-Behörde CISA nahm CVE-2026-76504 am 30. September in den KEV-Katalog auf und setzte US-Bundesbehörden eine Frist bis Samstag, 3. Oktober 2026 – zwei Tage. Als Ransomware-Fall ist der CVE im KEV-Eintrag nicht markiert.

Einen echten Workaround gibt es nicht, aber eine Übergangs-Mitigation: Cisco empfiehlt, den Zugriff aus unsicheren Netzen zu sperren, nur bekannte und vertrauenswürdige Hosts zuzulassen und die SD-WAN Control Components hinter ein Filtergerät zu stellen. Für Cloud-gehostete Umgebungen ist diese Maßnahme laut Cisco bereits aktiv. Das ersetzt das Update nicht, es kauft nur Zeit.

Als Indikatoren nennt Cisco Anfragen, in denen ein Zeichen URI-kodiert auftaucht – im Beispiel %6a für j. Prüfen lohnt sich in zwei Dateien:

• /var/log/nms/containers/service-proxy/serviceproxy-access.log – Einträge zu j_security_check von unbekannten IP-Adressen.
• /var/log/nms/vmanage-server.log – dieselben Aufrufe, insbesondere für Konten, deren Name mit viptela-reserved- beginnt.

Zwei Hinweise dazu sind wichtig. Erstens betont Cisco, dass %6a nur ein Beispiel ist: Jedes kodierte Einzelzeichen kann funktionieren. Eine Detection, die allein auf %6a greift, ist deshalb unzureichend. Zweitens warnt Cisco ausdrücklich, dass solche Einträge auch im Normalbetrieb auftreten können. Sie müssen gegen die eigene Netz-Baseline bewertet werden, sonst produziert man Fehlalarme.

Was das für dich bedeutet

Aus CISO-Sicht ist an dieser Meldung nicht der Einzelfehler das Problem, sondern das Muster. CVE-2026-76504 ist nach der Zählung von BleepingComputer der fünfte aktiv ausgenutzte SD-WAN-Zero-Day in diesem Jahr – eine Redaktionszählung, keine Cisco- oder CISA-Statistik. Anfang Juni traf es das Produkt im Doppel mit CVE-2026-20262, darunter CVE-2026-20245 im selben Produkt. Wer damals gepatcht hat, ist heute erneut betroffen – die alten Fixes decken diese Lücke nicht ab.

In 25 Jahren IT habe ich dieses Muster oft gesehen: Eine zentrale Management-Ebene bekommt immer mehr Macht über die Infrastruktur, und ihre Web-Oberfläche bleibt trotzdem so erreichbar wie am ersten Tag. Der Admin-Account im SD-WAN Manager ist kein normales Konto, sondern eine Steuerzentrale für tausende Geräte. Ein Authentifizierungs-Bypass dort ist praktisch gleichbedeutend mit Kontrolle über das Netz – inklusive Routing, Konfiguration und der Frage, wohin Datenverkehr fließt. Genau deshalb gehört so eine Konsole nie ins offene Internet, auch nicht „nur für die Fernwartung“.

Zugleich sollte man nicht in Panik verfallen: Angreifbar ist vor allem, wer die Manager-API von außen erreichbar hält. Eine reine On-Prem-Installation hinter einer Firewall mit sauberer Quell-IP-Beschränkung hat deutlich mehr Luft – Luft, nicht Immunität.

Konkrete Schritte für heute

• Inventarisieren: Welche Catalyst-SD-WAN-Manager-Instanzen laufen, in welcher Version, und welche davon antworten aus dem Internet? Ein kurzer externer Portcheck beantwortet das schneller als jede Doku.
• Patchen statt warten: Da es keinen Workaround gibt, ist das Upgrade auf eine der genannten Releases der einzige echte Fix. Bis dahin Zugriff auf bekannte, vertrauenswürdige Hosts einschränken und die Control Components hinter ein Filtergerät legen.
• Rückblickend suchen: Die beiden Logdateien nicht nur ab heute prüfen, sondern so weit zurück, wie die Aufbewahrung reicht. „Im September aktiv ausgenutzt“ heißt, dass Spuren älter sein können als das Advisory.
• Logs auslagern: Wer seine Manager-Logs nur lokal hält, verliert genau die Beweise, die nach einer Kompromittierung zählen. Cisco empfiehlt das ausdrücklich – und es ist der Rat, der auch ohne diesen CVE gilt.
• Bei Verdacht: request admin-tech ausführen und den TAC-Fall mit der CVE-ID im Titel eröffnen, statt selbst am potenziell kompromittierten System zu experimentieren.

Wer eine Netzwerk-Management-Ebene betreibt, sollte die Gelegenheit außerdem für eine unbequeme Frage nutzen: Wie viele weitere Konsolen im eigenen Haus wären mit einem einzigen Authentifizierungs-Bypass genauso vollständig übernommen?

Quellen

• Cisco Security Advisory cisco-sa-sdwan-webauth-xr8beuuU (30.09.2026)
• BleepingComputer: Cisco warns of new SD-WAN zero-day exploited in attacks (30.09.2026)
• CISA: Adds One Known Exploited Vulnerability to Catalog (30.09.2026)