Cisco Catalyst SD-WAN Manager の API 認証バイパスで未認証の管理者アクセス（CVSS 9.8・KEV・是正期限 2026-10-03）

Critical（CVSS 9.8）に分類されるCisco Catalyst SD-WAN Manager（旧 vManage）20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 より前の脆弱性です。Cisco Catalyst SD-WAN Manager（旧 vManage）の API のセッション認証管理に欠陥があり、**認証されていない攻撃者がネットワーク越しに管理者（admin）権限で API にアクセスできる**。HTTP リクエスト中の URI エンコーディングの扱いが不適切なため、特定の API エンドポイントへのアクセスを制限する認証ルールを、細工したリクエストですり抜けられる（Cisco のアドバイザリ cisco-sa-sdwan-webauth-xr8beuuU、2026年9月30日公開）。Cisco は「システム構成にかかわらず」影響を受けるとしている。 **すでに悪用されている。** Cisco PSIRT は 2026年9月にこの脆弱性の悪用を把握したと記している。CISA は公開と同じ 2026年9月30日に KEV へ収載し、**是正期限を 2026年10月3日**（収載から3日）とした。KEV ではフォレンジック・トリアージの対象（forensicTriage: Yes）で、ランサムウェア利用は Unknown（不明）。NVD の SSVC 判定も `exploitation: active` / `automatable: yes` / `technicalImpact: total`。 CVSS 3.1 は Cisco の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、NVD の vulnStatus は Analyzed。CWE は CWE-177（URL エンコーディングの不適切な処理）。修正版は 20.9 系は 20.9.10.1、20.12 系は 20.12.8.2、20.15 系は 20.15.6.1、20.18 系は 20.18.4.1、26.1 系は 26.1.2.1、26.2 系は 26.2.1で、20.9 より前の系列は修正版への移行が必要（Cisco の修正版一覧・NVD の CPE で一致を確認）。

**修正版へ上げる。回避策は無い。** Cisco のアドバイザリは「この脆弱性に対処する回避策は無い」としており、対処はソフトウェア更新である。20.9 系は 20.9.10.1、20.12 系は 20.12.8.2、20.15 系は 20.15.6.1、20.18 系は 20.18.4.1、26.1 系は 26.1.2.1、26.2 系は 26.2.1以降にする。20.9 より前の系列には修正版が出ないので、修正済みの系列へ移行する。KEV の是正期限は **2026年10月3日** と短い。 **更新までの間は管理プレーンを外から届かなくする。** Cisco は緩和として、信頼できないネットワークからのアクセスを制限し、ファイアウォールの内側に置くことを挙げている。SD-WAN Manager の Web UI / API をインターネットに直接出している構成を先に洗い出し、到達元を管理用ネットワークに絞る。これは更新の代わりにはならない。 **侵害の有無を確認する。** Cisco は痕跡として、`serviceproxy-access.log` と `vmanage-server.log` に、見覚えの無い IP アドレスから `j_security_check` へのリクエストで URI のエンコード文字（例: `%6a`）を含むものが残っていないかを挙げている。CISA も KEV で BOD 26-04 のフォレンジック・トリアージを求めているので、更新前にログを退避してから点検する。 **Cisco が管理するクラウド（Cisco SD-WAN Cloud・Cisco Managed）は対処済み**で、Cisco は Release 20.15.605 で修正したとしている。AWS / Azure などに自分で SD-WAN Manager を立てて運用している場合は利用者側の更新が必要。 **完了条件**は、（1）全ての SD-WAN Manager が修正版以上であること、（2）管理プレーンの到達元が絞られていること、（3）上記ログの点検を終えていること、の3点である。

Cisco Catalyst SD-WAN Manager（旧 vManage）20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 より前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76504）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。