Kriitiline Cisco SD-WAN haavatavus: admini õigused ilma parolil

Küberturvalisuse maastikul on harva olukord, kus tarkvaragigant peab välja saatma hoiatuse nii kiiresti ja teravalt. Cisco on teatanud kriitilisest nulldnipäevase haavatavusest oma Catalyst SD-WAN Manageris, mis on süsteem, mille abil ettevõtted haldavad oma SD-WAN võrke. Tegemist on tõsise turvaaukga, mida rünnakud juba aktiivselt kasutavad, et saada täielik kontrolli võrkude üle.

CVE-2026-76504 ja autentimise täielik kokkukugemine

Haavatavus, mille tunnuseks on CVE-2026-76504, on tehniliselt suunatud API sessioonipõhise autentimise haldamisele. Probleemi juureks on HTTP päringute URI-kodeeringu ebakorrektne töötlemine. Praktikas tähendab see, et rünnaja saab koostada spetsiaalse päringu, mis lihtsalt möödab reeglid, mis peaksid piirama ligipääsu konkreetsele API lõpppunktile.

Kõige hirmutavama osa sellest leidumest on see, et rünnaja ei vaja ühtegi kasutajanime ega parooli. Piisab võimeest saata vastav päring Manageri API-sse. Kui süsteem on interneti suhtes avatud, on risk kompromitteerimise juhul tohutult suur. The Hacker News märkis, et see haavatavus on hinnatud CVSS-skaalal numbrile 9.8, mis on peaaegu maksimaalne riskitase.

Kuidas rünnaja võrkude juhtimise üle võtab

Kui rünnaja suudab autentimise mööda minna, ei saa ta lihtsalt vaadata mõningaid seadistusi. Süsteemi arhitektuuri tõttu saab ta ligipääsu admini kasutaja õigustega. Cisco SD-WAN Manageris on admini kasutajal vaikimisi roll nimelt netadmin.

Netadmini roll on võimsaim võimalik roll, mis annab õiguse teha seadmel kõiki võimalikke operatsioone. See tähendab, et rünnaja võib muuta võrgureegleid, suunata liiklust, katkestada side või luua uusi tagasiuksi edasise sisse sisse tungimise jaoks. Kuna Catalyst SD-WAN Manager võimaldab ühe dashboardi kaudu hallata kuni 6000 SD-WAN seadet, on ühe saja punkti kompromitteerimise potentsiaalne kahju massiivne.

Tuvastamine ja aktiivsed rünnakud

Cisco Product Security Incident Response Team (PSIRT) sai teada aktiivsetest rünnakutest 2026. aasta septembris. Huimav on see, et haavatavus ei tulnenud planeeritud auditist, vaid tuli välja siis, kui Cisco tehniline abi (TAC) töötas ühe kliendi tugipileti üle. See viitab sellele, et rünnakud võivad olla toimunud juba pikemalt enne ametlikku teadet.

Ettevõtted, kes soovivad kontrollida, kas nende süsteemi on rünnatud, peaksid analüüsima logifaili /var/log/nms/containers/service-proxy/serviceproxy-access.log. Eriti tähelepanu vajavad kirjumised, mis on seotud j_security_check-iga ja tulevad tundmatutest või volitamata IP-aadressitest. Cisco on märkinud, et rünnakud võivad kasutada erinevaid kodeeritud märke, näiteks %6a märkide asendamiseks, kuid see on vaid üks näide võimalikust meetodist.

Süsteemid, mis on interneti suhtes avatud ja millega on avatud vastavad pordid, on kõige suurema riski all.

Uuenduste vajadus ja versioonide loetelu

Oluline on mõista, et selle haavatavuse puhul ei ole olemas ajutisi imendusi või konfigureerimislahendusi, mis takistaksid rünnakuid. Ainu viis kaitseks on tarkvara uuendamine. Cisco ametlik teavitus rõhutab, et haavatavus puudutab SD-WAN Managerit sõltumata sellest, kuidas süsteem on konfigureeritud.

Väljaandja on märgitud, et see on eraldi probleemitest, mis olid mai ja juunis 2026 parandatud. Seega, isegi kui IT-meeskond tegi uuendused suve alguses, on süsteem tõenäoliselt endiselt haavatav. Alljärgnevas on toodud esimesed parandatud versioonid vastavalt versioonisarjadele:

Kuidas vältida sarnaseid kriise tulevikus

Selle juhtumi puhul on näha, et API-te süsteemid on muutunud rünnakute peamiseks sihtruumiks. Kui autentimise loogikas tekib väike viga, nagu URI-kodeeringu valesti tõlgendamine, võib see avada ukse kogu infrastruktuuri jaoks. Bleeping Computer analüüs kinnitab, et nulldnipäevased rünnakud on muutunud alltseisutavaks, kuid nende mõju saab minimeerida, kui juhtimisliidesed ei oleks üldse avalikult internetis kättesaadavad.

Küberturvalisuse strateegia peaks keskenduma null-usaldusmudelile (Zero Trust), kus isegi admini õigused on piiratud ja iga päring on kontrollitud mitme kihmi kaudu. Selles juhtumes oli üksainine autentimise reegel, mille möödastamine andis täieliku võimsuse. See on klassikaline näide sellest, miks süsteemide arhitektuur ei tohi tugineda vaid ühele turvapunktile.

Mida see tähendab Eesti ja Balti riikide ettevõtetele

Balti riikide digitaalne ökosüsteem, ja eriti e-Estonia, on ehitatud usalduse ja kõrge tehnoloogilise integreerituse põhimõttel. See muudab meid ühelt külgevaks innovatsioonidele, kuid teislt haavatavaks kriitiliste infrastruktuuride hapruse suhtes. Cisco SD-WAN lahendusi kasutavad Baltikumis tõenäoliselt nii suuremad riiklikud asutused kui ka regioonaalsed logistika- ja finantsettevõtted, kelle võrkud on levitud mitme riigi üle.

Kuna Eesti on liigumas tihedamalt EU AI Acti ja rangemate küberturvalisuse direktiivide (nt NIS2) suunas, muutub tarkvara uuendamine ja haavatavuste haldamine mitte ainult tehniliseks vajaduseks, vaid õiguslikuks kohustuseks. Ettevõtted, kes haldavad kriitset infrastruktuuri, peavad tõendama, et nad reageerivad kriitilistele teatmistele kiiresti. See Cisco juhtum on meeldetuletus, et isegi kõige usaldatavamad vendorid võivad lasta läbi.

Balti riikide ettevõtjatele on soovitatav kontrollida oma võrkude nähtavust internetis. Kui SD-WAN Manager on kättesaadav avaliku IP-aadressiga ilma VPN-i või rangete IP-filtrite kasutamiseta, on risk märgatavalt suurem. Digitaalses riigis, kus e-teenused on elutähtsad, võib ühe võrgihaldussüsteemi kompromitteerimine tähendada tuhandete kasutajate andmete lekkmist või teenuste seiskamist.

Korduma kippuvad küsimused

Allikad: Thehackernews, Bleepingcomputer, Sec ·