O que é o zero-day do Cisco SD-WAN Manager (CVE-2026-76504)?
O CVE-2026-76504 é uma vulnerabilidade crítica de bypass de autenticação no Cisco Catalyst SD-WAN Manager, o controlador antes conhecido como vManage. Ele permite que um atacante não autenticado envie uma requisição HTTP manipulada e obtenha acesso à API de gerenciamento como usuário admin. A Cisco confirmou que a falha está sendo explorada ativamente, e a CISA a incluiu no catálogo de vulnerabilidades exploradas conhecidas, com prazo federal de correção até 3 de outubro de 2026.
Por que isso importa além dos clientes Cisco? O SD-WAN Manager é o plano de controle da rede de longa distância. Quem obtém direitos de administrador pode ler e alterar políticas de roteamento, templates, certificados e configurações de cada filial, data center e gateway de nuvem. Um controlador comprometido não é um servidor invadido: é uma alavanca sobre toda a WAN. Segundo o Help Net Security, é a quinta vez neste ano que a Cisco divulga um ataque zero-day contra seus produtos SD-WAN, sinal de que o controlador deve ser tratado como um ativo de alto valor.
Para organizações com uma arquitetura de SD-WAN e conectividade gerenciada multioperadora, a lição é de arquitetura: o plano de gerenciamento merece o mesmo rigor, segmentação e monitoramento do plano de dados que ele controla.
O desafio central: um truque de codificação URI que ignora a autenticação
A causa raiz é o tratamento incorreto da codificação URI em uma requisição HTTP. O controlador aplica uma regra de autenticação a um endpoint específico da API, mas uma requisição que codifica parte do caminho de outra forma não é reconhecida por essa regra e passa sem autenticação. A análise pública aponta requisições ao endpoint j_security_check contendo o caractere codificado %6a (um "j" codificado), útil como indicador de comprometimento.
Esse tipo de falha é perigoso por três razões. Não exige credenciais, interação do usuário nem acesso prévio. Afeta o produto independentemente da configuração. E a Cisco informa que não há soluções alternativas: a única correção completa é atualizar para uma versão corrigida.
A Cisco identificou a exploração em setembro de 2026 ao atender um caso do Technical Assistance Center, o que sugere que os atacantes podem ter tido vantagem antes de o patch existir. Esse é o problema de todo zero-day e por isso aplicar patches não basta: também é preciso detecção contínua, papel de um SOC gerenciado 24/7 com SIEM e MDR que monitore atividade administrativa anômala na infraestrutura de rede, e não apenas nos endpoints.
