Falha Crítica no Cisco SD-WAN Explorada: Aja Agora

A CISA acaba de adicionar uma vulnerabilidade crítica do Cisco SD-WAN ao seu catálogo de falhas conhecidas exploradas. A falha, identificada como CVE-2026-76504, permite que invasores contornem completamente a autenticação e assumam o controle administrativo do sistema. E o pior: os ataques já estão acontecendo.

Se você gerencia redes corporativas ou depende de infraestrutura Cisco, este é um alerta para agir imediatamente. Neste artigo, vou detalhar o que está acontecendo, como os invasores exploram essa brecha e — mais importante — o que você precisa fazer agora para proteger sua organização.

O que é a CVE-2026-76504 e por que ela é tão perigosa?

A CVE-2026-76504 afeta o Cisco Catalyst SD-WAN Manager, o componente central de gerenciamento das soluções SD-WAN da Cisco. Com uma pontuação CVSS de 9,8 (em uma escala de 0 a 10), ela é classificada como crítica devido ao seu potencial de exploração remota sem necessidade de credenciais.

O problema está no tratamento incorreto da codificação de URI nas requisições HTTP. Um invasor pode enviar uma requisição especialmente criada para a API do Manager e contornar a regra de autenticação, obtendo acesso com privilégios de usuário admin. Por padrão, esse usuário possui a função netadmin, que permite executar todas as operações no dispositivo.

Isso significa que, uma vez explorada, a falha dá ao atacante controle total sobre a rede SD-WAN. Ele pode modificar configurações, interceptar tráfego, redirecionar comunicações e até mesmo lançar ataques adicionais a partir da infraestrutura comprometida.

Exploração ativa confirmada: o que sabemos até agora

A Cisco confirmou que seu Product Security Incident Response Team (PSIRT) tomou conhecimento da exploração ativa em setembro de 2026. A vulnerabilidade foi descoberta enquanto o Technical Assistance Center (TAC) investigava um chamado de suporte.

Até o momento, a empresa não divulgou detalhes sobre quantas organizações foram comprometidas, quem está por trás dos ataques ou quais ações foram realizadas após o acesso administrativo. No entanto, a inclusão no catálogo KEV da CISA é um sinal claro de que a ameaça é real e está sendo explorada em campo.

Órgãos civis do Poder Executivo Federal dos Estados Unidos (FCEB) têm até 3 de outubro de 2026 para aplicar as correções. Para o setor privado, a recomendação é a mesma: corrija o quanto antes.

Como os invasores estão explorando a falha?

A técnica observada envolve a codificação de caracteres no caminho de autenticação. Em um dos exemplos fornecidos pela Cisco, o endpoint /jsecuritycheck aparece como /%6asecuritycheck, onde %6a representa a letra “j”. No entanto, qualquer caractere da requisição pode ser codificado, o que torna a detecção baseada apenas nesse padrão insuficiente.

Os administradores devem analisar os logs do sistema em busca de acessos suspeitos. Especificamente, a Cisco recomenda verificar:

• Arquivo /var/log/nms/containers/service-proxy/serviceproxy-access.log: procurar acessos a jsecuritycheck originados de endereços IP desconhecidos ou não autorizados.
• Arquivo /var/log/nms/vmanage-server.log: procurar chamadas a jsecuritycheck associadas a usuários cujos nomes começam com viptela-reserved-, prefixo usado por contas de serviço do sistema.

É importante ressaltar que entradas semelhantes podem aparecer durante operações legítimas. Portanto, cada ocorrência deve ser comparada com o comportamento normal do ambiente antes de ser considerada evidência de comprometimento.

O que fazer agora: correção e mitigação

Não existe workaround para eliminar a vulnerabilidade. A única solução definitiva é atualizar para uma versão corrigida do Cisco SD-WAN Manager. As versões recomendadas são:

• Para a linha 20.9: 20.9.10.1
• Para a linha 20.12: 20.12.8.2
• Para a linha 20.15: 20.15.6.1
• Para a linha 20.18: 20.18.4.1
• Para a linha 26.1: 26.1.2.1
• Para a linha 26.2: 26.2.1

Instalações anteriores à versão 20.9 devem migrar para uma versão suportada e corrigida. Clientes do Cisco SD-WAN Cloud, gerenciado pela própria Cisco, já estão protegidos a partir da versão 20.15.605 e não precisam tomar medidas adicionais.

Enquanto a correção não pode ser aplicada em ambientes on-premises, a Cisco recomenda impedir o acesso ao Manager a partir de redes não confiáveis, incluindo a internet. Quando a conectividade externa for indispensável, somente hosts conhecidos e autorizados devem receber acesso. Além disso, as interfaces administrativas (portas 443, 22 e 830) não devem ser expostas diretamente à internet.

Golpe do falso suporte técnico: um risco paralelo

Enquanto explorações técnicas como a CVE-2026-76504 fazem manchetes, os criminosos também usam táticas mais simples e igualmente perigosas. Um exemplo é o golpe do falso suporte técnico, que tem crescido nos últimos anos.

Nesse golpe, o criminoso entra em contato com a vítima — geralmente por telefone, e-mail ou pop-up no navegador — alegando ser de uma empresa de tecnologia confiável, como a Microsoft ou a Cisco. Eles afirmam que o computador da vítima está infectado ou com problemas e oferecem “ajuda” para resolver. Em seguida, convencem a vítima a instalar software de acesso remoto ou a fornecer credenciais de login.

Uma vez com acesso, o golpista pode roubar dados pessoais, instalar malware ou até mesmo sequestrar contas bancárias. E o pior: muitos golpistas se aproveitam de notícias de vulnerabilidades reais, como a CVE-2026-76504, para dar credibilidade à sua história. Eles podem dizer: “Sua rede Cisco está vulnerável, precisamos corrigir agora” e, assim, induzir a vítima a cooperar.

Para se proteger desse tipo de golpe:

• Nunca forneça senhas ou informações pessoais por telefone ou e-mail não solicitado.
• Desconfie de contatos inesperados que alegam ser de suporte técnico. Empresas legítimas não ligam do nada.
• Não instale software de acesso remoto a menos que você tenha iniciado o contato com uma fonte confiável.
• Verifique a identidade do chamador através de canais oficiais da empresa.

É fundamental que as organizações eduquem seus funcionários sobre esses golpes, pois eles são uma porta de entrada comum para ataques maiores.

Como a Kzarka pode ajudar na proteção da sua identidade digital

Em meio a um cenário de ameaças crescentes, proteger sua identidade digital é tão importante quanto corrigir vulnerabilidades técnicas. Vazamentos de dados e credenciais roubadas alimentam ataques como o do Cisco SD-WAN e golpes de suporte técnico. Se suas informações pessoais caírem em mãos erradas, os criminosos podem usá-las para acessar suas contas, cometer fraudes ou até mesmo chantagear você.

É aí que a Kzarka entra. Nossa plataforma monitora continuamente a internet e a dark web em busca de seus dados pessoais, como e-mails, senhas e números de documentos. Se encontrarmos alguma exposição, você será alertado imediatamente com orientações claras sobre como agir.

Não espere se tornar a próxima vítima. Acesse a Kzarka agora e verifique gratuitamente se seus dados já vazaram. Em poucos minutos, você terá um panorama da sua exposição e poderá tomar medidas para proteger sua identidade digital.

Perguntas Frequentes (FAQ)

O que é a CVE-2026-76504?

A CVE-2026-76504 é uma vulnerabilidade crítica no Cisco Catalyst SD-WAN Manager que permite a um invasor remoto não autenticado contornar a autenticação e obter privilégios administrativos. Ela está sendo explorada ativamente e foi adicionada ao catálogo KEV da CISA.

Como posso saber se meu sistema foi comprometido?

Verifique os logs do sistema em busca de acessos suspeitos ao endpoint jsecurity_check, especialmente de IPs desconhecidos ou usuários com prefixo viptela-reserved-. A codificação de caracteres na URL, como %6a no lugar de “j”, pode indicar tentativa de exploração.

O que devo fazer se não puder atualizar imediatamente?

Se a atualização imediata não for possível, restrinja o acesso ao SD-WAN Manager apenas a redes confiáveis e bloqueie a exposição à internet. Use firewalls para permitir somente hosts autorizados e monitore os logs ativamente em busca de atividades suspeitas.