Cisco mengungkap kerentanan kritis CVE-2026-76504 pada Cisco Catalyst SD-WAN Manager, yang sebelumnya dikenal sebagai SD-WAN vManage. Kerentanan ini telah dieksploitasi secara aktif dan memungkinkan penyerang jarak jauh tanpa autentikasi memperoleh akses API dengan hak administrator.
Advisori tersebut diterbitkan Cisco pada 30 September 2026. Perusahaan menyebut cacat berada pada pengelolaan autentikasi sesi API dan dipicu oleh penanganan URI encoding yang tidak tepat. Dengan mengirimkan permintaan HTTP yang dibuat khusus, penyerang dapat melewati pemeriksaan autentikasi pada sistem yang terdampak.
Cisco memberikan skor CVSS 9.8 untuk kerentanan ini. Tidak tersedia workaround, sehingga administrator perlu melakukan upgrade ke rilis yang telah diperbaiki sesuai jalur versi yang digunakan.
Eksploitasi aktif telah terdeteksi
Menurut Cisco, tim Product Security Incident Response Team (PSIRT) mengetahui adanya eksploitasi aktif terhadap CVE-2026-76504 sejak September 2026. Informasi ini menempatkan kerentanan tersebut dalam kategori yang membutuhkan respons segera, terutama karena akses yang diperoleh penyerang dapat memiliki hak administrator melalui API.
Risiko utamanya bukan hanya kegagalan autentikasi pada satu permintaan, melainkan kemungkinan akses tidak sah ke fungsi pengelolaan SD-WAN Manager. Detail teknis mengenai dampak setelah akses administrator diperoleh tidak dijelaskan lebih lanjut dalam informasi yang tersedia, sehingga administrator perlu memperlakukan sistem yang terekspos sebagai prioritas pemeriksaan.
CISA juga menambahkan CVE-2026-76504 ke katalog Known Exploited Vulnerabilities pada 30 September 2026. Untuk lembaga pemerintah federal Amerika Serikat, CISA menetapkan tenggat perbaikan pada 3 Oktober 2026.
Versi Cisco Catalyst SD-WAN Manager yang telah diperbaiki
Cisco menyediakan sejumlah rilis perbaikan untuk jalur versi yang berbeda. Versi yang tercantum dalam advisori meliputi:
- 20.9.10.1
- 20.12.8.2
- 20.15.6.1
- 20.18.4.1
- 26.1.2.1
- 26.2.1
Administrator perlu memilih rilis berdasarkan jalur versi yang sedang digunakan. Sistem yang masih menjalankan versi lebih lama dari 20.9 harus dimigrasikan ke rilis yang telah diperbaiki. Cisco tidak menyediakan workaround untuk mengatasi kerentanan ini, sehingga pembatasan sementara tidak dapat menggantikan pemasangan pembaruan.
Upgrade sebaiknya dilakukan dengan mengikuti prosedur perubahan yang berlaku di masing-masing lingkungan. Sebelum proses tersebut, Cisco meminta pelanggan mengumpulkan berkas admin-tech. Berkas ini diperlukan untuk membantu pemeriksaan apabila terdapat dugaan sistem telah disusupi.
Indikator yang perlu diperiksa administrator
Cisco menyediakan indikator pemeriksaan yang dapat digunakan untuk menelusuri kemungkinan aktivitas terkait CVE-2026-76504. Salah satunya adalah permintaan menuju endpoint dengan pola URI terenkode seperti /_security_check.
Administrator juga disarankan meninjau vmanage-server.log dan serviceproxy-access.log. Fokus pemeriksaan perlu diarahkan pada aktivitas dari alamat IP yang tidak dikenal atau tidak berwenang, termasuk entri yang berkaitan dengan j_security_check.
Temuan pada log tidak otomatis membuktikan bahwa sistem telah berhasil disusupi. Namun, permintaan mencurigakan dari sumber yang tidak dikenali perlu dicatat dan dianalisis sebagai bagian dari pemeriksaan insiden. Cisco meminta pelanggan membuka kasus melalui TAC agar indikator kompromi dapat diperiksa lebih lanjut.
Langkah yang disarankan Cisco
- Identifikasi seluruh instans Cisco Catalyst SD-WAN Manager atau SD-WAN vManage yang digunakan.
- Periksa jalur versi setiap instans dan tentukan rilis perbaikan yang sesuai.
- Kumpulkan berkas admin-tech sebelum upgrade.
- Tinjau vmanage-server.log dan serviceproxy-access.log untuk permintaan mencurigakan.
- Perhatikan pola URI seperti /_security_check serta aktivitas j_security_check dari alamat IP asing atau tidak berwenang.
- Hubungi Cisco TAC apabila ditemukan indikator yang memerlukan pemeriksaan kompromi.
- Lakukan upgrade ke versi yang telah diperbaiki dan sesuai dengan jalur rilis sistem.
Urutan tindakan tersebut penting karena proses pembaruan saja belum tentu menjawab pertanyaan apakah sistem pernah diakses secara tidak sah. Pengumpulan data teknis dan pemeriksaan log dapat membantu membedakan antara upaya eksploitasi, aktivitas administratif yang sah, dan indikasi kompromi.
Mengapa kerentanan ini perlu diprioritaskan
CVE-2026-76504 menggabungkan beberapa faktor risiko utama: dapat dieksploitasi dari jarak jauh, tidak membutuhkan autentikasi, dan berpotensi memberikan hak administrator melalui API. Status eksploitasi aktif yang dikonfirmasi Cisco serta pencantumannya dalam katalog KEV CISA memperkuat kebutuhan untuk segera menilai paparan sistem.
Organisasi yang menggunakan Catalyst SD-WAN Manager perlu memastikan inventaris mereka tidak hanya mencakup perangkat jaringan, tetapi juga komponen manajemen yang mengendalikan konfigurasi dan operasi SD-WAN. Sistem yang belum diperbarui harus diprioritaskan untuk upgrade, sementara sistem yang menunjukkan indikator mencurigakan perlu ditangani melalui proses respons insiden dan koordinasi dengan Cisco TAC.
Untuk saat ini, langkah mitigasi utama yang disampaikan Cisco adalah memasang rilis perbaikan yang sesuai, mengumpulkan berkas teknis, dan memeriksa log untuk mencari aktivitas tidak berwenang. Administrator juga perlu memperhatikan tenggat yang berlaku bagi organisasinya, khususnya lembaga federal Amerika Serikat yang berada di bawah batas waktu CISA pada 3 Oktober 2026.
