SD-WAN Managerの認証回避の脆弱性CVE-2026-76504の悪用
Ciscoの2026年9月30日のアドバイザリによると、Catalyst SD-WAN ManagerのAPIのセッション認証の管理に脆弱性CVE-2026-76504があり、CiscoのPSIRTは9月にその悪用を認知した［1］。回避策は無く、修正するには修正版へのアップグレードしかないとした［1］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| アドバイザリの題 | Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability〔注1〕 | ［1］ |
| CVE | CVE-2026-76504（CiscoのBug ID CSCww79570） | ［1］ |
| CVSS | 基本値9.8（Cisco、CVSS 3.1。重大度はCritical） | ［1］ |
| CWE | CWE-177 | ［1］ |
| 悪用されたときの影響 | 認証されていない遠隔の攻撃者が、adminユーザーの権限でシステムにアクセスできる可能性がある | ［1］ |
| CISAのSSVCの評価 | Exploitationはactive、Automatableはyes、Technical Impactはtotal | ［4］ |
Ciscoは原因を、HTTPリクエストのURIエンコーディングの不適切な処理だと説明した［1］。この不備のため、特定のAPIエンドポイントへのアクセスを制限する認証ルールを、リクエストが回避できる［1］。攻撃者は細工したHTTPリクエストをAPIに送って悪用でき、成功すれば認証を回避し、adminユーザーとしてAPIにアクセスできる可能性がある［1］。脆弱性は、TACのサポートケースを解決する過程で見つかった［1］。
watchTowrの9月30日のFAQによると、Catalyst SD-WAN Managerの旧称はSD-WAN vManageである［10］。adminアカウントは既定でnetadminロールを持ち、機器のあらゆる操作ができる［10］。Ciscoは2017年8月1日に、SD-WANの企業Viptelaの買収を完了していた［19］。Kudelski Securityは、悪用の前提はネットワークから影響を受けるシステムのAPIに到達できることだけだとした［12］。
MS-ISACのアドバイザリ2026-105では、Catalyst SD-WAN ManagerはSD-WANの機器を監視・管理する中央のダッシュボードで、一部の展開では1つのコンソールから数千台までを管理する［8］。悪用に成功すると、そのManagerが制御するすべてのSD-WAN機器の構成を閲覧・変更できうる［8］。
Rapid7は、Catalyst SD-WAN Managerには2026年のこれより前の時期に、CVE-2026-20127と、Rapid7が見つけたCVE-2026-20182の2件の認証の欠陥がvdaemonサービスにあったと説明した［9］。CVE-2026-76504は、それらとは別のAPIの認証の経路を狙うとした［9］。watchTowrの脅威インテリジェンスの責任者はSecurityWeekに、2026年だけでCisco SD-WANのCVEが8件KEVに入ったと述べた［13］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-76504の番号が予約された | ［4］ |
| 2026年 | Cisco | アドバイザリの初版（1.0）を13時（GMT）に、是正の文書226384の初版（1.0）を公開した | ［1、2］ |
| 2026年 | CISA | KEVカタログに追加した | ［4、5］ |
| 2026年 | MS-ISAC | アドバイザリ2026-105を出した | ［8］ |
| 2026年 | Rapid7 | 解説を公開した | ［9］ |
| 2026年 | Horizon3.ai | 影響を受ける顧客に通知し、NodeZeroのRapid Responseのテストを公開した | ［11］ |
| 2026年 | NCSC（ニュージーランド） | アラートを出した | ［7］ |
| 2026年 | Cisco | 是正の文書を2.0に改訂し、FAQを更新した | ［2］ |
| 2026年 | Cisco | アドバイザリを1.1に改訂し、Live Protect shieldの提供の情報を加えた | ［1］ |
| 2026年 | JPCERT/CC | Weekly Reportの【5】に掲載した | ［6］ |
対象の製品と版
Ciscoによると、影響を受けるのはCatalyst SD-WAN Managerで、システムの構成にかかわらない［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Catalyst SD-WAN Manager | 20.9より前 | 修正版へ移行 | ［1］ |
| Catalyst SD-WAN Manager | 20.9 | 20.9.10.1 | ［1］ |
| Catalyst SD-WAN Manager | 20.12 | 20.12.8.2 | ［1］ |
| Catalyst SD-WAN Manager | 20.15 | 20.15.6.1 | ［1］ |
| Catalyst SD-WAN Manager | 20.18 | 20.18.4.1 | ［1］ |
| Catalyst SD-WAN Manager | 26.1 | 26.1.2.1 | ［1］ |
| Catalyst SD-WAN Manager | 26.2 | 26.2.1 | ［1］ |
| Cisco SD-WAN Cloud（Cisco Managed） | - | Release 20.15.605（利用者の操作は不要） | ［1］ |
Ciscoは是正の文書のFAQで、影響はManager（vManage）だけで、このアドバイザリのためにController、Validator、エッジルーターを上げる必要はないと説明した［2］。以前のSD-WANのアドバイザリの修正版に上げていても、各トレインの最初の修正版以上でなければ、もう一度アップグレードが要る［2］。ControllerとValidatorは、『Cisco Catalyst SD-WAN Software Security Hardening Release: August 2026』の修正版を既に動かしている前提で、Managerと同じトレインに組み合わせる［2］。
The Hacker Newsは、修正版の表には5月のアドバイザリが挙げた20.10、20.11、20.13、20.14、20.16のトレインが無いと報じた［14］。同じ記事は、アドバイザリがCisco SD-WAN Cloud-ProとCisco SD-WAN for Government（FedRAMP）も名指ししていないと伝えた［14］。
悪用の状況
Ciscoのアドバイザリによると、インターネットに公開され、ポートがインターネットに露出したManagerは侵害のおそれがある［1］。侵害の痕跡は通常の運用でも出ることがあり、通常のネットワークの状態と照らして評価する必要がある［1］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| アクセスログの記録の例 | [2026-09-29T23:11:13.948-05:00] "POST /%6a_security_check HTTP/1.1" 200 | Cisco | ［1］ |
| 確かめるアクセスログ | /var/log/nms/containers/service-proxy/serviceproxy-access.logの、未知・無許可のIPアドレスからのj_security_checkの記録 | Cisco | ［1］ |
| 確かめるサーバーログ | /var/log/nms/のvmanage-server.logで、viptela-reserved-で始まる名前の利用者について呼ばれたj_security_checkの記録 | Cisco | ［1］ |
| リクエストの形 | j_security_checkのパスに、エンコードした文字を含むリクエスト（例 /%6a_security_check） | Horizon3.ai | ［11］ |
Ciscoは、例の%6aは文字jをURIエンコードしたもので、例にすぎず、リクエスト中の任意の1文字のエンコードで悪用できると説明した［1］。viptela-reservedは、システムのサービスアカウントである［1］。侵害の判断の支援はTACのケースで受けられ、ケースはSeverity 3で、題にCVE-2026-76504を入れて開く［1］。
Ciscoの是正の文書では、最初の修正版より前のリリースのManagerはすべて脆弱で、すぐにアップグレードが要る［2］。ただし、すべてのManagerに侵害の証拠があるわけではない［2］。
Kudelski Securityは、評価の中で公開のPoC、攻撃キャンペーン、帰属の情報は得られなかったとした［12］。Horizon3.aiの攻撃研究チームは、この脆弱性をリバースエンジニアリングした［11］。watchTowrは、Rapid Reactionで顧客の環境の露出を特定し、確かめたとした［10］。
Rapid7は、通常のパッチの周期を待たずに緊急でアップグレードし、インターネットに面したシステムの悪用の痕跡を調べるよう推奨した［9］。Rapid7の製品での脆弱性の検査は、10月1日のコンテンツのリリースで提供する見込みだとした［9］。
CVE-2026-76504を名指しした注意喚起は、ニュージーランドのNCSC、MS-ISAC、JPCERT/CCが出した［6、7、8］。NCSCは、特にインターネットからアクセスできるシステムを運用する組織に、脆弱なリリースを動かしているかの確認を求めた［7］。MS-ISACは、政府と企業のリスクを規模を問わずHIGH、家庭の利用者をLOWと評価した［8］。JPCERT/CCは、Ciscoが悪用を確認しているとし、修正済みのバージョンへの更新で解決すると伝えた［6］。
CISAはKEV〔注2〕で、ベンダーの指示に従った緩和と、BOD 26-04とCISAの「Forensics Triage Requirements」への準拠を求めた［5］。緩和策が無ければ製品の使用を止めるとし、対応の期限を10月3日とした［5］。Help Net SecurityとSecurity NEXTは、CISAが米国の行政機関に、期限までの対応に加えて侵害の評価を求めたと報じた［16、18］。
修正と回避策
Ciscoは是正の文書で、アップグレードと侵害の確認を4段の手順で示した［2］。
- アップグレードの前に、クラスタの全ノードとDRの主・副を含むすべてのManagerでadmin-techを取る［2］。
- すべてのManagerを修正版に上げる［2］。TACの走査結果を待たずに上げ、アップグレードを最優先にする［2］。
- TACのケースを開いてadmin-techを提出し、侵害の痕跡を走査させる［2］。
- 痕跡があれば、TACの指示に従う［2］。
アップグレードは現在のメジャーリリースの中にとどめ、TACの明示の指示なしに上位のメジャーリリースへ上げないよう求めた［2］。TACは痕跡の走査を支援するが、詳しいフォレンジック分析やインシデント調査は行わず、Ciscoは第三者のインシデント対応企業への依頼を勧めた［2］。痕跡が見つかればTACが連絡するものの、Ciscoは顧客に代わって是正しない［2］。
Ciscoはアドバイザリで、オンプレミスの環境の緩和策を3つ挙げた［1］。
- インターネットなど安全でないネットワークからシステムへのアクセスを制限する［1］。
- インターネットからのアクセスが要るときは、既知の信頼できるホストに限る［1］。
- 制御コンポーネントを、ファイアウォールなどのフィルタリング機器の背後に置く［1］。
Cisco Catalyst SD-WAN Cloud Hostedの環境には、この緩和策を適用済みとした［1］。緩和策はテスト環境で有効と確かめたが、顧客が自らの環境で適用可能性と効果を判断する必要があると説明した［1］。Ciscoがホストする顧客には、SSPのAllowed Inbound Rulesを見直し、必要なプレフィックスだけを許可するよう勧めた［2］。クラウドホストのオーバーレイは、予定された自動アップグレードをSSPで確かめるか、自ら上げるか、TACに待機のケースを開く［2］。
Ciscoは、CVE-2026-76504のLive Protect shieldを、アップグレードの計画の時間を確保するための一時的な保護として公開した［1］。shieldは一時的で部分的な保護しか提供しない［1］。適用すると、URIエンコーディングを使う正当な利用者がSD-WAN Managerにログインできないことがある［1］。
リリースノートによると、shieldのIDは1000101-01で、Catalyst ManagerのダッシュボードのMonitor > Advisoriesから適用できる［3］。shieldは主な悪用の方法を緩和するが、Ciscoは恒久的な修正を含む版へのアップグレードを強く推奨した［3］。
未公表の事項
- 悪用を受けた顧客・組織の数
- 最初の悪用の時期
- 攻撃者と攻撃の帰属
- 攻撃の初期の経路と、アクセスを得た後の攻撃者の行動
- 侵害されたManagerが制御する機器への影響の有無
注
出典
当事者
- ［1］Cisco Systems, Inc.『Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability（cisco-sa-sdwan-webauth-xr8beuuU）』（2026年9月30日公開、2026年10月2日更新）
- ［2］Cisco Systems, Inc.『Remediate Catalyst SD-WAN Security Advisory - September 2026（Document ID 226384）』（2026年9月30日公開、2026年10月1日更新）
- ［3］Cisco Systems, Inc.『Cisco SD-WAN Live Protect Shield Release Notes』（公開日不明、2026年10月3日更新、2026年11月5日閲覧）
公的機関
- ［4］CVE Program『CVE-2026-76504』（2026年9月30日公開、2026年10月2日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-76504』（2026年9月30日公開、2026年10月3日更新）
- ［6］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-10-07 【5】Cisco Catalyst SD-WAN Managerに認証回避につながる脆弱性』（2026年10月7日公開）
- ［7］National Cyber Security Centre『CVE-2026-76504 affecting Cisco Catalyst SD-WAN Manager』（2026年10月1日公開）
- ［8］Center for Internet Security『MS-ISAC Advisory 2026-105: A Vulnerability in Cisco Catalyst SD-WAN Manager Could Allow for Authentication Bypass』（2026年9月30日公開）
調査・観測
- ［9］Rapid7, Inc.『Critical Cisco Catalyst SD-WAN Manager API authentication bypass exploited in the wild (CVE-2026-76504)』（2026年9月30日公開、2026年10月1日更新）
- ［10］watchTowr Pte. Ltd.『Cisco Catalyst SD-WAN Manager Vulnerability FAQ: CVE-2026-76504』（2026年9月30日公開）
- ［11］Horizon3.ai, Inc.『CVE-2026-76504: Cisco SD-WAN Auth Bypass』（2026年10月1日公開）
- ［12］Kudelski Group『Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability（Security Advisory）』（2026年9月30日公開）
報道機関
- ［13］Wired Business Media『Cisco Patches Exploited Catalyst SD-WAN Zero-Day Vulnerability』（2026年10月1日公開）
- ［14］The Hacker News『Cisco Warns of Attackers Exploiting Critical Authentication Bypass in SD-WAN Manager』（2026年9月30日公開）
- ［15］The Hacker News『CISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV』（2026年10月1日公開）
- ［16］Help Net Security『New Cisco SD-WAN zero-day exploited in-the-wild (CVE-2026-76504)』（2026年10月1日公開）
- ［18］株式会社ニュースガイア『Apple製品やCiscoのSD-WAN管理製品の脆弱性悪用に注意喚起 - 米当局』（2026年10月1日公開）
背景資料
- ［19］Cisco Systems, Inc.『Cisco Completes Acquisition of Viptela』（2017年8月1日公開）
更新記録
- 2026年10月4日：公開した。
- 2026年10月7日：JPCERT/CCの10月7日のWeekly Report（出典6）を加え、「時系列」と「悪用の状況」を改めた。