Cisco Catalyst SD-WAN Manager-də Kritik Autentifikasiyadan Yan Keçmə Zəifliyi Aşkarlandı (CVE-2026-76504)

Cisco Catalyst SD-WAN Manager-də Kritik Təhlükəsizlik Böhranı: CVE-2026-76504

Müasir korporativ şəbəkələrin mərkəzi idarəetmə sütunu hesab edilən Cisco Catalyst SD-WAN Manager (keçmiş vManage) proqram təminatında CVSS şkalası üzrə ən yüksək təhlükəlik dərəcələrindən biri — 9.8 bal ilə qiymətləndirilən kritik təhlükəsizlik zəifliyi aşkar edilmişdir. CVE-2026-76504 identifikatoru verilmiş bu boşluq uzaqdan olan, autentifikasiyadan keçməmiş hücumçuya sistem üzərində tam inzibatçı (administrator) səlahiyyətləri əldə etməyə imkan verir.

Cisco Məhsul Təhlükəsizliyi İnsidentlərinə Reaksiya Qrupu (PSIRT) tərəfindən yayımlanan təcili bülletendə vurğulanır ki, zəiflik nəzəri xarakter daşımır və artıq real kiberhücumlarda fəal şəkildə istismar edilir (zero-day statusunda). Şəbəkə paradiqmasının mərkəzində dayanan bu nəzarət düyününün kompromisə uğraması bütün SD-WAN infrastrukturunun, o cümlədən marşrutlaşdırma siyasətlərinin, şifrələmə açarlarının və kənar (edge) cihazların tam şəkildə təcavüzkarların nəzarəti altına keçməsi deməkdir.

Texniki Təhlil: URI Kodlaşdırma Xətası və API Autentifikasiya Mexanizminin Yan Keçilməsi

Zəifliyin kökündə Cisco Catalyst SD-WAN Manager arxitekturasında veb sorğuların qarşılanması və daxili API sessiya idarəetməsi arasındakı URI normalizasiyası (URI normalization) uyğunsuzluğu dayanır. Sistem daxilində veb sorğuları qəbul edən xidmət proksisi (service-proxy) ilə arxa planda yerləşən tətbiq mühərriki (vManage web/API server) daxil olan HTTP sorğularındakı simvolları fərqli şəkildə emal edir.

Təhlükəsizlik baryerləri konfiqurasiya edilərkən müəyyən API yolları və autentifikasiya filtrləri birbaşa mətn müqayisəsi və ya zəif regex qaydaları ilə yoxlanılır. Lakin sorğu daxilində faiz kodlaşdırması (URL encoding / percent-encoding) tətbiq edildikdə, proksi səviyyəsində qoruyucu mexanizmlər sorğunu “qorunmayan” və ya “icazə tələb olunmayan” resurs kimi qeydə alır. Nəticədə sorğu daxili emal mühərrikinə ötürüldükdə, tətbiq URI-ni dekodlaşdırır və sorğunun birbaşa kritik autentifikasiya kontekstinə aid olduğunu müəyyən edir, lakin artıq təhlükəsizlik filtrləri yan keçildiyi üçün sorğu təsdiqlənmiş kimi icra olunur.

Hücum Mexanizmi: %6a_security_check və NetAdmin Səlahiyyətlərinin Ələ Keçirilməsi

Hücum ssenarisi son dərəcə sadə və eyni zamanda dağıdıcıdır. Java/Tomcat əsaslı autentifikasiya mexanizmlərində standart olaraq istifadə olunan j_security_check sonluğu istismar vektorunun əsas hədəfidir. Təcavüzkar hər hansı istifadəçi adı və ya parol təqdim etmədən, sadəcə HTTP sorğu yolundakı “j” hərfini onun onaltılıq (hex) ekvivalenti olan %6a simvolu ilə əvəzləyir:

POST /%6a_security_check HTTP/1.1
Host: <vmanage-ip>
User-Agent: Mozilla/5.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

Bu manipulyasiya nəticəsində baş verən proseslər zənciri aşağıdakı kimidir:

• Filtrin Aldadılması: Təhlükəsizlik modulu /%6a_security_check sətrini standart qorunan /j_security_check endpoint-i kimi tanımır və bloklamır.
• Normalizasiya və Emal: Daxili API konteyneri sorğunu dekodlaşdıraraq j simvolunu bərpa edir və sessiya idarəetmə mühərrikini işə salır.
• İmtiyazların Təyini: Tətbiqdəki məntiqi xəta səbəbindən heç bir etibarnamə (credential) tələb olunmadan yeni sessiyaya avtomatik olaraq sistemin ən yüksək imtiyazlı rolu — netadmin hüquqlarına malik admin səlahiyyəti verilir.
• Sessiya Tokeninin Ələ Keçirilməsi: Cavab başlığında hücumçuya tam səlahiyyətli sessiya kukisi (session cookie) və ya CSRF tokeni qaytarılır və bununla da SD-WAN Manager tam kompromisə uğrayır.

Real Hücumlar və Təsir Zonası: İnternetə Açıq Qalan SD-WAN İdarəetmə Düyünləri

Cisco PSIRT tərəfindən aparılan araşdırma zamanı məlum olmuşdur ki, bu zəiflik ilk dəfə Cisco TAC (Texniki Dəstək Mərkəzi) sorğusunun təhlili zamanı aşkarlanmışdır. Müştəri mühitində qeydə alınan şübhəli fəaliyyətlər zəifliyin artıq təcavüzkarlar tərəfindən aktiv istismar edildiyini təsdiqləmişdir.

Əsas risk faktoru bir çox təşkilatların Catalyst SD-WAN Manager idarəetmə interfeyslərini (Port 443) birbaşa ictimai internetə açıq saxlamasıdır. Təcavüzkarlar kütləvi skanerlər vasitəsilə açıq vManage instansiyalarını aşkar edir və saniyələr ərzində heç bir autentifikasiya tələb olunmadan şəbəkə topologiyasına sızırlar. Bu səlahiyyəti əldə edən hücumçu aşağıdakı dağıdıcı əməliyyatları həyata keçirə bilir:

• SD-WAN parçasındakı (fabric) bütün marşrutlaşdırıcıların konfiqurasiyalarını dəyişdirmək və silmək;
• Məlumat axınını kənar serverlərə yönəldərək Man-in-the-Middle (MitM) hücumları təşkil etmək;
• vSmart və vBond nəzarətçiləri ilə əlaqəni kəsərək bütün qlobal korporativ şəbəkədə xidmətdən imtina (DoS) vəziyyəti yaratmaq;
• Cihazlar üzərində daimi arxa qapılar (backdoors) və xüsusi istifadəçi hesabları formalaşdırmaq.

Təsirə Məruz Qalan Versiyalar və Təcili Yenilənmə Matrisi

Cisco rəsmi olaraq bildirir ki, CVE-2026-76504 zəifliyi üçün heç bir müvəqqəti həll yolu (workaround) mövcud deyil. Riski aradan qaldırmağın yeganə yolu təsirlənmiş sistemləri rəsmi təhlükəsizlik yeniləmələrinə dərhal yüksəltməkdir.

Kompromis Əlamətlərinin (IoC) Aşkarlanması və Loq Analizi

Sistem inzibatçıları və kibertəhlükəsizlik komandaları təcili olaraq SD-WAN Manager düyünlərində kompromis əlamətlərini təftiş etməlidirlər. Analiz üçün iki əsas loq faylı yoxlanılmalıdır:

1. /var/log/nms/containers/service-proxy/serviceproxy-access.log
2. /var/log/nms/vmanage-server.log

1. Kodlaşdırılmış Sorğuların Loqlarda Axtarışı

Xidmət proksisinin giriş loqlarında URL kodlaşdırmasından istifadə edilərək göndərilən manipulyativ sorğuları aşkar etmək üçün vManage konsolunda və ya SSH sessiyasında aşağıdakı əmrləri icra edin:

grep -Ei "%6a_security_check" /var/log/nms/containers/service-proxy/serviceproxy-access.log
grep -Ei "(%2f|%25|%6a|%4a).*security_check" /var/log/nms/containers/service-proxy/serviceproxy-access.log

Əgər sorğularda HTTP 200 və ya 302 status kodları ilə müşayiət olunan bu tip sətirlər aşkarlanarsa, bu, sistemin istismar cəhdinə məruz qaldığını göstərən ilkin göstəricidir.

2. Şübhəli Xidmət Hesablarının Təftişi

Hücumçuların tətbiq daxilində səlahiyyət əldə etdikdən sonra daxili xidmət proseslərindən və ya standart adlandırma şablonlarından istifadə edərək gizlənməyə çalışdıqları müəyyən edilmişdir. vmanage-server.log faylında qeyri-adi fəaliyyətlər göstərən daxili hesabları yoxlayın:

grep -Ei "viptela-reserved-" /var/log/nms/vmanage-server.log
grep -Ei "User.*admin.*authenticated successfully" /var/log/nms/vmanage-server.log

Əgər xarici, tanınmayan IP ünvanlarından viptela-reserved- prefiksi ilə başlayan hesablar və ya gözlənilməz vaxtlarda baş tutmuş admin sessiyaları mövcuddursa, insidentin araşdırılması dərhal başladılmalıdır.

Şəbəkə Təhlükəsizliyi və Hardening Tövsiyələri

Yeniləmə paketləri tətbiq olunana qədər və ümumilikdə gələcək hücum vektorlarını məhdudlaşdırmaq üçün idarəetmə müstəvisi (Management Plane) dərhal sərtləşdirilməlidir (hardening):

• Port 443 (HTTPS Web UI və REST API) İnternetə Bağlanmalıdır: Catalyst SD-WAN Manager heç bir halda ictimai internetə açıq olmamalıdır. Veb interfeysə giriş yalnız daxili idarəetmə şəbəkəsi (Out-of-Band Management – OOBM) və ya sərt Giriş İdarəetmə Siyahıları (ACL) ilə qorunan VPN tunelləri üzərindən həyata keçirilməlidir.
• Port 22 (SSH) Məhdudlaşdırılması: SSH protokolu üzrə girişlər yalnız müəyyən edilmiş bastion hostlar və şəbəkə administratorlarının statik IP ünvanları ilə məhdudlaşdırılmalıdır.
• Port 830 (NETCONF) İzolyasiyası: NETCONF portu yalnız nəzarətçilər (vSmart, vBond) və kənar marşrutlaşdırıcılar (cEdge, vEdge) ilə qarşılıqlı əlaqə üçün zəruridir. Bu porta kənar şəbəkələrdən hər hansı birbaşa giriş cəhdi dərhal bloklanmalıdır.
• Nəzarət Müstəvisinin Qorunması (CoPP): SD-WAN komponentlərində Control Plane Policing mexanizmlərini tətbiq edərək icazəsiz seqmentlərdən daxil olan idarəetmə sorğularını dərəcələndirin və ya tamamilə rədd edin.

Yekun və BITEP Tövsiyələri

CVE-2026-76504 zəifliyi müasir proqram təminatı ilə təyin olunan şəbəkələrin təhlükəsizliyində kritik bir nöqtəni təmsil edir. İdarəetmə mərkəzinin bir sorğu ilə ələ keçirilməsi korporativ şəbəkə seqmentasiyasını (Zero Trust arxitekturasını) tamamilə mənasızlaşdırır.

BITEP Kibertəhlükəsizlik Mərkəzi olaraq şəbəkə və informasiya təhlükəsizliyi komandalarına aşağıdakı addımları gecikmədən icra etməyi tövsiyə edirik:

1. Cisco Catalyst SD-WAN Manager instansiyalarınızın internetə açıq olub-olmadığını xarici perimetr skan alətləri ilə dərhal yoxlayın və aşkarlanarsa dərhal girişi məhdudlaşdırın.
2. Yuxarıda göstərilən rəsmi düzəliş paketlərini (patch) kritik infrastruktur dəyişikliyi qaydalarına uyğun olaraq növbədənkənar tətbiq edin.
3. Yeniləmədən əvvəl göstərilən loq fayllarını kiber-kriminalistika (forensics) tələblərinə uyğun arxivləşdirərək kompromis əlamətlərinin olub-olmadığını dəqiqləşdirin.
4. Əgər kompromis izləri aşkar edilərsə, sadəcə yeniləmə ilə kifayətlənməyin; bütün idarəetmə parollarını, API tokenlərini və SD-WAN şəbəkə daxili sertifikatlarını (root CA / device certificates) yeniləyərək yenidən qurun.