Beheert jouw bedrijf of IT-partner een netwerk met Cisco Catalyst SD-WAN? Dan moet de Manager (vroeger vManage) vandaag bijgewerkt worden. Een kritiek lek, CVE-2026-76504, laat een aanvaller zonder wachtwoord binnen als admin. Het wordt al misbruikt en Cisco heeft geen workaround. Alleen patchen helpt.

In het kort

CVE-2026-76504 (CVSS 9.8) is een authenticatie-omzeiling in de API van Cisco Catalyst SD-WAN Manager. Een speciaal opgemaakt HTTP-verzoek geeft admin-toegang tot de API, zonder login (bron: Cisco-advisory via Rapid7, The Hacker News).
Het lek wordt al misbruikt. CISA nam het op 30 september 2026 op in de KEV-catalogus, met 3 oktober als deadline voor Amerikaanse federale diensten (bron: The Hacker News, Horizon3).
Er is geen workaround. Update naar 20.9.10.1, 20.12.8.2 of 20.15.6.1 (of een andere gefixte build van jouw tak). Oudere versies dan 20.9 moeten migreren (bron: Cloud Security Alliance, Horizon3).

Wat is er precies aan de hand?

SD-WAN koppelt kantoren, filialen en cloud via één centraal beheerpunt. Bij Cisco heet dat de Catalyst SD-WAN Manager. Wie daar admin is, ziet en wijzigt de configuratie van elk toestel dat de Manager beheert.

Het lek zit in hoe de API URL-codering verwerkt (CWE-177). Een aanvaller versleutelt één teken in het pad van de loginhandler, bijvoorbeeld de letter “j” in j_security_check. De beveiligingsregel herkent het pad dan niet meer en laat het verzoek door. Het resultaat: admin-rechten op de API.

Cisco maakte het lek op 30 september 2026 bekend. Volgens de bronnen werd het al aangevallen voor er updates waren. Het geldt voor alle configuraties.

Ninja tip

Een SD-WAN Manager is het controlecentrum van je netwerk. Zet hem nooit open op het internet zonder strikte IP-beperking, ook niet “even voor de leverancier”.

Welke versies moet je updaten?

Release-tak	Gefixte versie
20.15	20.15.6.1
20.12	20.12.8.2
20.9	20.9.10.1
Ouder dan 20.9	Geen fix in de tak, migreer naar een ondersteunde release

Bron: Cisco-advisory zoals samengevat door Cloud Security Alliance en Horizon3. Cisco meldt ook gefixte builds voor de takken 20.18, 26.1 en 26.2. Stand van zaken op 7 oktober 2026.

Wat doe je vandaag?

Update de Manager. Installeer de gefixte versie van jouw tak. Een workaround bestaat niet.
Beperk de toegang. De Manager hoort enkel bereikbaar te zijn vanaf intern of VPN-adres.
Zoek naar sporen. Kijk in de logs naar verzoeken met vreemd gecodeerde paden en naar nieuwe admin-accounts of gewijzigde configuratie.
Wissel wachtwoorden en sleutels als je toestel al een tijd open stond. Een admin kan configuratie van alle gekoppelde toestellen lezen.

Wat betekent dit voor jou als KMO in de Kempen?

Veel KMO’s gebruiken SD-WAN niet zelf, maar hun IT-partner of provider doet dat wel. Je weet dus niet altijd of je erdoor geraakt wordt.

Vraag: Moet ik als klant zelf iets doen? Vraag je IT-partner of jullie netwerk op Cisco SD-WAN draait en of de Manager gepatcht is. Een mail van twee zinnen volstaat.

Vraag: Is er een tijdelijke oplossing? Nee. Cisco bevestigt dat er geen workaround is. Alleen de update sluit het lek.

Vraag: Hoe weet ik of we al aangevallen zijn? Zoek in de logs naar API-verzoeken met gecodeerde loginpaden. Twijfel je? Laat het onderzoeken voor je alleen patcht, want een patch verwijdert geen indringer.

Onze mening

Dit is alweer een beheertoestel dat al misbruikt wordt voor de klanten een update hebben. De voorbije weken waren dat ook Citrix en Fortinet. Het patroon is duidelijk: aanvallers mikken op de toestellen die het hele netwerk beheren.

Wat wij erover vinden: leg beheerinterfaces nooit open op het internet en reken erop dat patchen binnen enkele dagen moet kunnen. Wie dat niet kan, heeft een partner nodig die het wel doet.

Wat betekent dit voor jou?

Draai je Cisco Catalyst SD-WAN? Update de Manager vandaag.
Er is geen workaround, alleen een patch.
Sluit de Manager af van het open internet.
Zoek naar sporen van inbraak voor en na het patchen.

Wil je weten of kritieke toestellen bij jou snel genoeg bijgewerkt worden? Neem contact op met CyberNinja en we bekijken samen je blootstelling.

Bronnen

Critical Cisco Catalyst SD-WAN Manager API authentication bypass exploited in the wild (CVE-2026-76504) - Rapid7
CISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV - The Hacker News
Cisco SD-WAN Manager CVE-2026-76504: Authentication Bypass Exploited - Cloud Security Alliance
CVE-2026-76504: Cisco SD-WAN Auth Bypass - Horizon3.ai
Cisco says no workaround for exploited SD-WAN Manager flaw - iTnews

Beeldverantwoording

hero.webp - CyberNinja.be, eigen werk