Cisco SD-WAN Manager: falha explorada dá admin sem login

O que a Cisco publicou

O aviso saiu em 30 de setembro de 2026, às 13h GMT, e foi atualizado em 2 de outubro (versão 1.1, final). A Cisco descreve um tratamento incorreto da codificação de URI numa requisição HTTP. Uma requisição montada com caracteres codificados escapa de uma regra de autenticação que deveria proteger um endpoint da API. O resultado é acesso ao sistema com privilégio de administrador, sem credencial.

O aviso diz que o time de resposta a incidentes da Cisco (PSIRT) soube de exploração ativa em setembro de 2026. A Cisco afirma que não há contorno e que a única correção é a atualização.

O SD-WAN Manager é o painel que guarda modelos de configuração e políticas e empurra tudo para os roteadores de borda (WAN Edge). Quem controla o Manager controla o que a malha inteira recebe. Por isso uma falha de autenticação nele pesa mais que a mesma falha num roteador isolado.

O que a CISA decidiu

A CISA publicou em 30 de setembro de 2026 o alerta "CISA Adds One Known Exploited Vulnerability to Catalog", com o CVE-2026-76504. O catálogo KEV registra a data de inclusão 2026-09-30 e o prazo 2026-10-03. O prazo foi de 3 dias. Hoje, 22 de outubro, já se passaram 22 dias desde o aviso.

A entrada do catálogo também marca a falha como sujeita a triagem forense pela diretiva BOD 26-04, que vale para órgãos federais civis dos EUA. A regra não alcança empresas brasileiras. Mas o sinal é claro: a CISA trata a falha como algo que pode já ter sido usado, e não só como algo a corrigir.

Versões corrigidas

O aviso da Cisco lista a primeira versão corrigida para cada trem de software. São 6 trens.

No SD-WAN Cloud gerenciado pela Cisco, a correção entrou na versão 20.15.605, e o cliente não precisa fazer nada. Quem roda o Manager em infraestrutura própria, física ou virtual, é quem precisa agir.

A proteção provisória e seus limites

A Cisco oferece um Live Protect shield para a falha. O próprio aviso trata o shield como proteção temporária e parcial. Ele pode bloquear logins legítimos que usem codificação de URI. E não há arquivo de shield para a versão 20.15 e anteriores. Para quem está nesses trens, a atualização é o único caminho.

A conta do impacto: o tamanho do estrago possível

Para medir o risco, conte o que o Manager controla. Suponha, como exemplo, uma rede com 240 filiais e 35 usuários por filial. Um atacante com perfil de administrador no Manager pode mudar políticas e modelos que chegam a todas as bordas. São 8.400 usuários atrás de equipamentos que recebem configuração de um único painel.

Esse é o motivo de o aviso pedir atualização sem contorno. A falha não fica num equipamento de borda. Ela fica no ponto que manda em todos.

A conta da contenção: quem pode chegar à gerência

Até atualizar, reduza quem alcança a interface web e a API do Manager. A falha exige só uma requisição HTTP. Se a interface responde à internet, qualquer endereço do mundo é candidato. Se responde só à rede de administração, a lista cai para algumas centenas de endereços.

Suponha, como exemplo, que a equipe administra a rede a partir de 10.50.12.0/23 e que a VPN de acesso remoto entrega endereços em 10.50.14.0/24.

São 768 endereços entre os 2^32 do IPv4, ou 0,0000179% do espaço. Numa ACL de estilo Cisco, as duas linhas ficam assim: permit para 10.50.12.0 0.0.1.255 e para 10.50.14.0 0.0.0.255, com deny para o resto no final.

Dá para resumir as duas redes num /22 (10.50.12.0 0.0.3.255), mas isso libera 1.024 endereços, 256 a mais que o necessário. Para gerência, prefira as duas linhas exatas. O guia de máscara curinga em ACL e OSPF mostra a conta da wildcard, e a calculadora wildcard faz na hora. Para um explicador sem jargão sobre wildcard, o vpsa.com.br tem o guia Máscara wildcard na ACL: liberar só a faixa da TI.

A ACL não corrige a falha. Ela só reduz quem pode tentar. Um atacante que já esteja dentro da rede de administração ainda alcança a API.

Janela de manutenção

O tempo de atualização depende do tamanho do cluster e da versão de partida. Para planejar, suponha, como exemplo, um cluster de 3 nós e 40 minutos por nó, um de cada vez. A janela total fica em 120 minutos, sem contar testes. Confirme com a documentação de atualização da Cisco para a sua versão de partida.

Como procurar sinais de invasão

O aviso da Cisco indica revisar os registros serviceproxy-access.log e vmanage-server.log. O alvo são requisições com URI codificada vindas de endereços desconhecidos. Logins de contas cujo nome começa com viptela-reserved- também merecem atenção. A própria Cisco avisa que esses sinais podem aparecer em operação normal e precisam ser comparados com o comportamento de costume do seu ambiente.

Ao abrir chamado no TAC, a Cisco pede severidade 3, o CVE no título e os arquivos admin-tech já coletados.

Checklist para a equipe de rede

• Confira a versão do SD-WAN Manager e ache o trem na tabela.
• Atualize para a primeira versão corrigida ou posterior.
• Até atualizar, limite a interface de gerência às redes de administração.
• Se estiver em 20.15 ou anterior, não conte com o shield: não há arquivo para esses trens.
• Revise os dois registros indicados e as contas viptela-reserved-.
• Troque as credenciais de administração e confira modelos e políticas depois da atualização, se houver sinal de acesso indevido.

Perguntas frequentes

Qual a gravidade do CVE-2026-76504?

Crítica. A Cisco deu nota CVSS 9,8. A falha dispensa login e dá acesso de administrador à API do SD-WAN Manager.

Quem precisa agir?

Quem roda o SD-WAN Manager em infraestrutura própria. No SD-WAN Cloud gerenciado pela Cisco, a correção já foi aplicada na versão 20.15.605.

Existe contorno?

Não. O Live Protect shield é temporário e parcial, pode bloquear logins legítimos e não existe para a 20.15 e versões anteriores. A ACL na gerência reduz a exposição, no exemplo para 768 endereços, mas não corrige.

O prazo da CISA vale no Brasil?

Não. O prazo de 3 dias, até 3 de outubro, vale para órgãos federais civis dos EUA. Ele serve de referência de urgência: a falha já está sendo explorada.

Qual wildcard libera só a rede de administração do exemplo?

0.0.1.255 para o /23 (10.50.12.0 a 10.50.13.255) e 0.0.0.255 para o /24 da VPN (10.50.14.0 a 10.50.14.255).

Quer montar a ACL da sua rede de gerência? Use a calculadora wildcard e confira a faixa de cada linha.