Cisco Catalyst SD-WAN Manager の API 認証バイパス — CVE-2026-76504 が KEV に (期限 10 月 3 日)
Cisco は Catalyst SD-WAN Manager の API セッション管理における URI エンコード処理の不備 (CVE-2026-76504、Cisco 評価 CVSS 3.1 9.8、CWE-177) を advisory cisco-sa-sdwan-webauth-xr8beuuU で公表した。これにより無認証のリモート攻撃者が API を admin ユーザとして利用しうる。CISA は 9 月 30 日に KEV へ追加し、連邦機関の期限は 10 月 3 日である。修正リリースは 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 以降 (20.9 以前は修正リリースへの移行)。既知の回避策は無く、暫定緩和はインターネットからのアクセスを信頼ホストに限定することと Live Protect シールドである。Cisco は実運用での悪用を認めている。
2026 年 9 月 30 日 13:00 GMT、Cisco は Catalyst SD-WAN Manager の API 認証バイパス脆弱性 CVE-2026-76504 をセキュリティ・アドバイザリ cisco-sa-sdwan-webauth-xr8beuuU で公表した。原因は HTTP リクエストの URI エンコード処理の不備 (CWE-177) で、特定の API エンドポイントへのアクセスを制限する認証ルールをリクエスト側が迂回でき、無認証のリモート攻撃者が API に admin ユーザの権限でアクセスしうるとする。Cisco の評価は CVSS 3.1 ベース 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、Critical) である。影響は「システムの構成を問わず」Catalyst SD-WAN Manager に及ぶとされ、20.9 より前の系統は修正リリースへの移行を、20.9 以上は 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 以降への更新を要求される (Cisco Managed の Cisco SD-WAN Cloud Release 20.15.605 には対応済み)。Cisco は回避策は存在しないと明記し、本番の暫定緩和としてオンプレミス環境ではインターネットからのアクセスを既知の信頼ホストへのみ限定するよう求めている。また Live Protect シールドを暫定的な部分的保護として提供し、URI エンコードを含む正規ユーザのログインに支障が出る点、根本対策は修正リリースへの更新のみの点を注意書きに載せている。Cisco は実運用での悪用を認め (advisory 1.1、2026-10-02 更新)、IoC としては serviceproxy-access.log と vmanage-server.log における %6a_security_check (URI エンコードされた j_security_check) の要求と、viptela-reserved- プレフィックスのユーザ名での記録例を挙げている。TAC ケースは Severity 3 で CVE-ID をタイトルに入れて開くことが示されている (cisco-sa-sdwan-webauth-xr8beuuU)。
CISA は 9 月 30 日に本脆弱性を KEV カタログへ追加し、連邦市民行政機関には 10 月 3 日までの対応を求めている (BOD 26-04、追加から 3 日)。KEV 注記は「ベンダー指示に従い緩和を適用し、CISA の BOD 26-04 とフォレンジック・トリアージ要件に準拠する」を要求し、forensicTriage は Yes、既知のランサムウェア使用は Unknown である。KEV 項目の短説は「URI エンコードの HTTP リクエストにおける不備な処理により、認証なしのリモート攻撃者が admin ユーザ権限でアクセスしうる hex encoding 脆弱性」と述べている (CISA KEV カタログ 2026.10.04、全 1,734 項目)。9 月 30 日の同週には Zammad の 2 件 (CVE-2026-102490 / CVE-2026-102489、10 月 2 日追加) と FortiMail (CVE-2026-104286、10 月 1 日追加) も登録されており、境界装置や管理インターフェースへの集中が続いている (CISA KEV カタログ、2026.10.04)。
分析 (事実と分離): 本件で注目すべきは、認証ルールが URI エンコードという単一の文字化けで迂回され、その API が admin 権限を持つ構造だ。%6a_security_check の例は j_security_check という文字列が 1 文字でもエンコードされていれば通ることを示し、これは正規のログインパスでも同じ処理を通るため、WAF 等での単純な文字列一致ブロックでは誤検知が起きうる (Cisco が Live Protect シールドの副作用として同じ注意を求めている点と整合する)。Cisco が「回避策なし・更新のみを根本対策」と位置づけているため、SD-WAN のコントローラ側が更新可能なウィンドウを持つ組織では、管理コンポーネントの停止時間を含む更新計画が 10 月 3 日の期限に直結する。Cisco Catalyst SD-WAN Manager は過去に KEV へ複数回登場している (2026-20122 / 2026-20133 / 2026-20128 は 4 月、2026-20262 と 2026-20245 は 6 月) が、本件が同製品の KEV 通算何件目であるかは本記事では数えていない (KEV カタログに他の製品名の表記揺れを含む)。
防御側への含意: (1) 更新可能な環境では 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 以降、20.9 以前は修正リリースへの移行を今すぐ計画し、Cisco SD-WAN Cloud は 20.15.605 以上であることを確認する。(2) 更新までの暫定措置は、インターネットからのアクセスを既知の信頼ホスト・ポート・プロトコルのみに限定すること。管理コンポーネントをファイアウォール等で遮断しつつ、必要最低限のトラフィックだけを通す。(3) 検知は serviceproxy-access.log (/var/log/nms/containers/service-proxy/serviceproxy-access.log) と vmanage-server.log (/var/log/nms/vmanage-server.log) を遡り、%6a_security_check (任意の 1 文字エンコードを含む j_security_check 変形) と viptela-reserved- ユーザ名での記録を確認する。装置自身のログが改ざんの可能性があることを前提に、WAF や NetFlow など装置外のログでも管理 API へのトラフィックを遡る。(4) 既知の回避策が不存在である以上、Live Protect シールドを適用する場合、URI エンコードを含む正規ユーザのログイン障害が起きうる点と、それは部分的保護のみの点を運用側に周知する。(5) Cisco の TAC 手順 (Severity 3、CVE-ID をタイトルに) を確認しておくと、事案化時の経路が明確になる。事実関係は Cisco アドバイザリ cisco-sa-sdwan-webauth-xr8beuuU (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-webauth-xr8beuuU)、CISA KEV カタログ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)、NVD の CVE レコード (https://nvd.nist.gov/vuln/detail/CVE-2026-76504) に基づく。分析部分は事実と分けて記述している。