TR-26-1371 - Cisco Catalyst SD-WAN Manager Ayrıntılı Güvenlik Duyurusu (CVE-2026-76504)

[Toplama Pc]

1. Genel Bilgi

Cisco, ağ cihazları ve ağ yönetim yazılımları geliştiren bir üreticidir. Cisco Catalyst SD-WAN Manager (eski adıyla vManage), kurumların geniş alan ağlarındaki yönlendiricileri, ağ ayarlarını ve güvenlik politikalarını tek bir yönetim panelinden kurmasını, izlemesini ve yönetmesini sağlayan bir yazılımdır. Panele web tarayıcısı üzerinden erişilmekte ve ağın merkezi yönetim noktası olarak kullanılmaktadır.2 3

CVE-2026-76504 kodu ile takip edilen kritik zafiyet, bu yönetim yazılımının oturum açma işlemini denetleyen bölümünde bulunmaktadır. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir. Zafiyet nedeniyle saldırgan, kullanıcı adı ve parolaya sahip olmadan, ağ üzerinden özel olarak hazırlanmış bir istek göndererek yazılımın programlar arası iletişim arayüzüne yönetici hesabının yetkileriyle erişebilmektedir. Bu erişim, saldırgana yönetilen ağın ayarlarını ve politikalarını görüntüleme ve değiştirme imkânı vermektedir. Saldırının gerçekleşmesi için özel bir ayarın açık olması gerekmemektedir. Etkilenen sürümler yapılandırmadan bağımsız olarak savunmasızdır.1 3

Üretici, zafiyetin gerçek saldırılarda kullanıldığını doğrulamaktadır. Zafiyet ayrıca ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) gerçek saldırılarda kullanıldığı bilinen zafiyetler kataloğuna eklenmiştir. Cisco tarafından yönetilen bulut hizmetinde düzeltme üretici tarafından uygulanmış olup kullanıcı işlemi gerekmemektedir.1 12

Kalıcı çözüm, kullanılan sürüm dalına ait düzeltilmiş sürüme gecikmeden yükseltmektir. Yükseltme tamamlanana kadar yönetim paneline internet gibi güvenilmeyen ağlardan erişim engellenmelidir. Güncelleme, sistemin daha önce ele geçirilmiş olma ihtimalini ortadan kaldırmamaktadır; bu nedenle internete açık kalmış sistemlerin kayıtları olası yetkisiz erişim açısından incelenmelidir.1 11

2. Teknik Detaylar

2.1. Temel Bilgiler

• Üretici / Vendor: Cisco
• CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): Cisco
• Ürün: Cisco Catalyst SD-WAN Manager (eski adı vManage)
• Bileşen: API oturumlarına dayalı kimlik doğrulama yönetimi (API session-based authentication management)1
• CVE: CVE-2026-76504 — PUBLISHED13
• Zafiyet Türü: Kimlik doğrulama atlatma (authentication bypass).1 13
• CWE: CWE-177 — URL kodlamasının hatalı işlenmesi (Improper Handling of URL Encoding (Hex Encoding))1 13
• Etkilenen Servis / Özellik: Uygulama programlama arayüzüne (Application Programming Interface, API) yönelik oturum açma işlemi. Üreticinin inceleme rehberinde j_security_check isteklerine işaret edilmektedir.1
• İstismar Ön Koşulu: Saldırganın sistemin API'sine ağ üzerinden erişebilmesi. Etkilenme, sistem yapılandırmasından bağımsızdır.1
• Saldırı Vektörü: Ağ
• Kullanıcı Etkileşimi: Gerekmiyor
• Gerekli Ayrıcalıklar: Gerekmiyor
• Etkilenen Sürümler: 20.9 öncesindeki sürümler ile 20.9, 20.12, 20.15, 20.18, 26.1 ve 26.2 sürüm dallarında, ilgili dalın düzeltmeyi içeren ilk sürümünden öncekiler1
• Minimum Güvenli Sürüm: Tek bir ortak sürüm bulunmamaktadır. Kullanılan dal için sırasıyla 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 veya 26.2.1 kurulmalıdır; 20.9 öncesi sürümler düzeltilmiş bir aralığa taşınmalıdır.1
• Güncel Önerilen Sürüm: Üretici, sistemin Cisco Catalyst SD-WAN yazılımının en güncel sürümüne yükseltilmesini önermektedir.1
• Aktif İstismar Durumu: Doğrulandı. Cisco, Eylül 2026'da aktif istismardan haberdar olduğunu bildirmektedir. Zafiyet CISA KEV kataloğundadır.1 12

2.2. Zafiyet Tanımı

Üreticiye göre zafiyet, HTTP isteğindeki URI kodlamanın hatalı işlenmesinden kaynaklanmaktadır. Bu hata, belirli bir API uç noktasına erişimi sınırlandırmak için tanımlanmış kimlik doğrulama kuralının özel hazırlanmış bir istekle atlatılmasına olanak tanımaktadır. Başarılı istismar durumunda kimliği doğrulanmamış saldırgan (unauthenticated attacker), API'ye admin kullanıcısının yetkileriyle erişebilmektedir.1

Bağımsız teknik analizde kök neden, aynı istek yolunun iki farklı katmanda farklı biçimde değerlendirilmesi olarak açıklanmaktadır. Uygulama sunucusunun güvenlik denetimi yolun kodu çözülmüş halini esas alırken, Cisco'nun oturum açma modülü ham yolu değerlendirmektedir. Bu uyumsuzluk nedeniyle parola denetimi yürütülmemekte ve ürünün dahili sistem hesapları adına geçerli bir oturum oluşturulabilmektedir. Analize göre yönetici düzeyinde API erişimi, yalnızca uygun izinlere sahip belirli dahili hesaplarla elde edilebilmektedir.16

2.3. Zayıflıklar

CWE-177: CNA tarafından atanan bu zayıflık, kodlanmış adres bilgisinin güvenlik kararları verilirken tutarlı biçimde çözülmemesini ifade etmektedir. Bu vakada aynı istek yolunun kodlanmış ve kodu çözülmüş gösterimleri, kimlik doğrulama kararının farklı katmanlarda farklı uygulanmasına yol açmaktadır.1 13

2.4. Etkiler

Doğrudan teknik etki, kimlik doğrulaması yapılmadan API'ye admin kullanıcısının ayrıcalıklarıyla erişilmesidir. Ürünün güvenlik sıkılaştırma rehberine göre admin kullanıcısı varsayılan olarak netadmin rolünde yer almakta ve bu rol cihaz üzerindeki bütün işlemlere izin vermektedir.1 3

Bu erişimle ortaya çıkabilecek operasyonel sonuçlar şunlardır:

• Yönetilen SD-WAN ağının yapılandırmalarının ve politikalarının yetkisiz görüntülenmesi veya değiştirilmesi,
• Merkezi olarak dağıtılan ağ ve güvenlik politikaları üzerinden ağın çalışma düzeninin etkilenmesi,
• Yönetim işlevlerinin kötüye kullanılması ve yetkisiz değişikliklerin yetkili yönetici faaliyeti gibi görünmesi.3 17

Yönetici düzeyinde API erişimi, kendiliğinden işletim sistemi üzerinde root erişimi veya uzaktan kod yürütme (Remote Code Execution, RCE) anlamına gelmemektedir.1

2.5. Sömürü Durumu

Aktif exploit var mı?: Bağımsız teknik analiz, zafiyeti yeniden ürettiğini ve çalışan istismar kodu geliştirdiğini bildirmektedir ve bu materyale erişim kontrollüdür.16

PoC var mı?: Kamuya açık ve doğrulanmış kavram kanıtı (Proof of Concept, PoC) bulunmamaktadır. Bağımsız analize göre 01.10.2026 itibarıyla kamuya açık meşru istismar kodu bulunmamakta, kamuya açık olarak paylaşılan bir veri ise sahte olarak değerlendirilmektedir.16

Gerçek dünya istismarı var mı?: Evet. Cisco, Eylül 2026'da aktif istismardan haberdar olduğunu bildirmektedir. Zafiyetin bir Cisco teknik destek vakasının çözümü sırasında tespit edildiği belirtilmektedir.1

CISA KEV: Katalogda; eklenme tarihi 30.09.2026, son işlem tarihi 03.10.2026, Known Ransomware Campaign Use değeri “Unknown”.12

CISA SSVC:

• Sömürü Durumu: Aktif
• Otomatize Edilebilirlik: Evet
• Teknik Etki: Tam
• Değerlendirme tarihi: 30.09.202613 14

Üretici duyurusu 30.09.2026 tarihinde 0-day (sıfırıncı gün) olarak yayımlanmış, aynı gün CVE kaydı yayımlanmış ve zafiyet KEV kataloğuna eklenmiştir. Kesin ilk istismar tarihi yayımlanmamıştır. Duyurudaki örnek kayıt satırlarının tarihleri gerçek saldırı tarihi olarak değerlendirilmemektedir.1 13

Gerçek saldırılar herhangi bir tehdit aktörüne (threat actor), kampanyaya veya kötü amaçlı yazılıma atfedilmemektedir.16

Vendor/CNA doğrulama seviyesi: Cisco zafiyeti, etkisini ve gerçek saldırılarda kullanıldığını doğrulamaktadır. Bağımsız analizdeki istismar materyali üretici tarafından ayrıca onaylanmış değildir.

Tarihsel karşılaştırma — 2026 yılında aynı ürün ailesinde istismar edilen diğer zafiyetler

• CVE-2026-20127: 25.02.2026 tarihinde açıklanan, SD-WAN bileşenleri arasındaki eşleşme kimlik doğrulamasında yer alan kimlik doğrulama atlatma zafiyetidir. Cisco sınırlı seviyede istismardan haberdar olduğunu bildirmektedir.6
• CVE-2026-20122 ve CVE-2026-20128: 25.02.2026 tarihli çoklu duyuruda yer almaktadır. İlki API üzerinden keyfi dosyaların üzerine yazılmasına, ikincisi veri toplama aracısı (Data Collection Agent, DCA) kimlik bilgilerinin okunmasına yol açan bilgi ifşasına (information disclosure) neden olmaktadır. Cisco, Mart 2026'da her ikisinin aktif istismarından haberdar olmuştur.5
• CVE-2026-20133: Aynı duyurudaki dosya sistemi erişim kısıtlaması hatasıdır. Cisco, Nisan 2026'da aktif istismardan haberdar olmuştur.5
• CVE-2026-20182: 14.05.2026 tarihinde açıklanan diğer bir bulgu kimlik doğrulama atlatma zafiyetidir. Cisco, Mayıs 2026'da sınırlı istismardan haberdar olmuştur.7
• CVE-2026-20245: 04.06.2026 tarihinde açıklanan yetki yükseltme (privilege escalation) zafiyetidir. Yerel erişime ve netadmin ayrıcalıklarına sahip saldırganın root yetkileriyle komut çalıştırmasına izin vermektedir. Cisco, Haziran 2026'da istismardan haberdar olmuştur.8
• CVE-2026-20262: 15.06.2026 tarihinde açıklanan, kimliği doğrulanmış saldırganın dosya oluşturmasına veya dosyaların üzerine yazmasına izin veren zafiyettir. Cisco, Haziran 2026'da sınırlı istismardan haberdar olmuştur.9

Cisco'nun Haziran 2026 müdahale rehberi, CVE-2026-20127 ve CVE-2026-20182'yi CVE-2026-20245 ile CVE-2026-20262 için gerekli kimlik bilgilerinin elde edilmesine yönelik bilinen yolları ilişkilendirmektedir. Bu rehber CVE-2026-76504'ten söz etmemektedir. Bu durum CVE-2026-76504'ün aynı zincire dahil olduğu anlamına gelmemektedir ve önceki vakaların göstergeleri ve müdahale talimatları bu CVE'ye taşınmamıştır.4

3. Risk Değerlendirmesi

Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmeleri:

• Cisco CNA — CVSS v3.1: 9.8 (Kritik)
  Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H13
• Cisco güvenlik duyurusu — CVSS v3.1: 9.8 (Kritik)
  Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:X/RL:X/RC:X1

İki gösterim aynı temel değerlendirmeye aittir. Duyurudaki vektör yalnızca tanımlanmamış zamansal metrikleri ek olarak içermektedir.13 14

CNA temel metrikleri:

• Saldırı Vektörü: Ağ (AV:N)
• Saldırı Karmaşıklığı: Düşük (AC:L)
• Gerekli Ayrıcalıklar: Yok (PR:N)
• Kullanıcı Etkileşimi: Yok (UI:N)
• Kapsam: Değişmedi (S:U)
• Gizlilik: Yüksek (C:H)
• Bütünlük: Yüksek (I:H)
• Erişilebilirlik: Yüksek (A:H)13

İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):

• EPSS: %1,819
• Yüzdelik dilim (percentile): %78,422
• Veri tarihi: 19.10.2026
• Doğrulama tarihi: 20.10.202615

EPSS, zafiyetin müteakip 30 gün içinde istismar edilme olasılığına ilişkin istatistiksel bir tahmindir. Aktif istismar kanıtı değildir. Bu vakada gerçek dünya istismarı üretici ve CISA KEV kaydıyla ayrıca doğrulandığından EPSS değeri müdahalenin ertelenmesi için gerekçe olarak kullanılmamalıdır.

İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV):

• Katalog durumu: Mevcut
• Eklenme tarihi: 30.09.2026
• Son işlem tarihi: 03.10.2026
• Bilinen fidye yazılımı kampanyalarında kullanım: Unknown. Bu değer, fidye yazılımı kullanımının doğrulandığı veya bulunmadığı anlamına gelmemektedir.
• Gerekli işlem: Üretici talimatlarına uygun önlemlerin uygulanması, CISA'nın BOD 26-04 yönergesine ve adli analiz ön değerlendirmesi gerekliliklerine uyulması, önlem bulunmuyorsa ürün kullanımının sonlandırılması.12

Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC): CISA'nın yetkili veri yayıncısı (Authorized Data Publisher, ADP) kaydında değerlendirilmiştir.13

Bağımsız bir tarama verisine göre 01.10.2026 itibarıyla internetten erişilebilir durumda yaklaşık 1.500 SD-WAN Manager sistemi tespit edilmiştir. Bu sayı erişilebilir sistemleri ifade etmekte olup ele geçirilmiş sistem sayısı değildir.16

Ağ üzerinden, kimlik bilgisi ve kullanıcı etkileşimi olmadan yönetici düzeyinde API erişimi sağlanabilmesi, doğrulanmış gerçek saldırılar ve KEV kaydı birlikte değerlendirildiğinde; özellikle internetten erişilebilir SD-WAN Manager sistemlerinde eskalasyonun ve olası ihlal incelemesinin geciktirilmemesi gerekmektedir.

4. Etkisizleştirme (Mitigation)

Üretici, zafiyeti gideren bir geçici çözüm (workaround) bulunmadığını belirtmektedir. Şirket içi kurulumlar için üreticinin önerdiği etkisizleştirme önlemleri şunlardır:1

• Sisteme internet gibi güvenilmeyen ağlardan erişimin engellenmesi; internet erişimi zorunluysa erişimin yalnızca bilinen ve güvenilir sistemlerle, kullanım kılavuzlarında belirtilen port ve protokollerle sınırlandırılması,
• SD-WAN kontrol bileşenlerinin güvenlik duvarı gibi filtreleme cihazlarının arkasında korunması ve yalnızca güvenilir sistemlerden gelen trafiğe izin verilmesi.1

Cisco'ya göre bulutta barındırılan Cisco Catalyst SD-WAN ortamlarında önlem üretici tarafından uygulanmaktadır.1

Cisco, 02.10.2026 tarihinde CVE-2026-76504 için Live Protect koruması yayımlamıştır. Üretici bu korumanın yalnızca geçici ve kısmi koruma sağladığını, URI kodlama kullanan meşru kullanıcıların oturum açmasını engelleyebileceğini belirtmektedir.1

Üreticinin genel sıkılaştırma önerileri arasında yönetim portlarının doğrudan internete açılmaması, yönetim erişiminin yetkili yönetim ağlarıyla sınırlandırılması, web kayıtlarının düzenli izlenmesi ve kayıtların yeterli süre saklanacak biçimde harici bir sunucuya gönderilmesi yer almaktadır. Bu öneriler zafiyete özgü bir düzeltme değildir.1 3

Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.

5. Kalıcı Çözüm (Remediation)

Kalıcı çözüm, kullanılan sürüm dalına ait düzeltilmiş sürüme yükseltmektir. Üretici, geçici önlemlerin yalnızca yükseltme yapılana kadar geçerli olduğunu belirtmektedir.1

Minimum Güvenli Sürüm:

• 20.9 öncesi: Düzeltilmiş bir sürüme geçiş
• 20.9 dalı: 20.9.10.1
• 20.12 dalı: 20.12.8.2
• 20.15 dalı: 20.15.6.1
• 20.18 dalı: 20.18.4.1
• 26.1 dalı: 26.1.2.1
• 26.2 dalı: 26.2.11

Güncel Önerilen Sürüm: Üretici, sistemin Cisco Catalyst SD-WAN yazılımının en güncel sürümüne yükseltilmesini önermektedir. Duyuruda belirli bir güncel sürüm numarası yayımlanmamıştır; yükseltme planlamasında üreticinin uyumluluk ve yükseltme matrisleri dikkate alınmalıdır.1

Cisco SD-WAN Cloud (Cisco Managed) hizmetinde zafiyet 20.15.605 sürümüyle giderilmiştir ve kullanıcı işlemi gerekmemektedir.1

Yükseltme, daha önce gerçekleşmiş bir güvenlik ihlalini ortadan kaldırmamaktadır. Yetkisiz oluşturulan kullanıcılar, yapılandırma ve politika değişiklikleri güncellemeyle geri alınmış kabul edilmemelidir. Üretici, ihlal şüphesinde Cisco teknik destek merkezine CVE numarasını içeren bir vaka açılmasını ve öncesinde inceleme için gerekli tanılama dosyasının alınmasını önermektedir.1

6. Tespit / İzleme (SOC/SIEM için)

6.1. Log Göstergeleri

Üreticinin inceleme rehberine göre aşağıdaki kayıt dosyaları incelenmelidir:1 11

• /var/log/nms/containers/service-proxy/serviceproxy-access.log: Bilinmeyen veya yetkisiz IP adreslerinden gelen, j_security_check ile ilişkili ve yolunda URI kodlanmış karakter bulunan istekler. Üretici, duyurudaki örneğin yalnızca bir kodlama örneği olduğunu ve yoldaki herhangi bir karakterin kodlanmasının istismar için kullanılabileceğini belirtmektedir.
• /var/log/nms/vmanage-server.log: Bilinmeyen veya yetkisiz IP adreslerinden gelen j_security_check kayıtları. Özellikle kullanıcı adı viptela-reserved- ile başlayan hesaplar için oluşturulmuş kayıtlar.

Üretici, bu göstergelerin olağan işlemler sırasında da oluşabileceğini ve yanlış pozitiflerin (false positive) ayıklanması için ağın normal kullanım düzeniyle karşılaştırılması gerektiğini belirtmektedir. HTTP 200 yanıtı tek başına başarılı istismar kanıtı değildir.1

Ürünün denetim kayıtları; oturum açma, yapılandırma değişikliği ve şablon ekleme/kaldırma işlemlerini kaydetmektedir. Şüpheli erişimin zamanları bu yönetim işlemleriyle karşılaştırılmalıdır.3

6.2. IOC

Bu vakaya özgü sabit ve kamuya açık doğrulanmış güvenlik ihlali göstergesi (Indicator of Compromise, IOC) yayımlanmamıştır. j_security_check ve viptela-reserved- ifadeleri inceleme örüntüleridir; tek başına ihlal kanıtı değildir.1 11

Üreticinin örnek kayıt satırlarındaki IP adresleri ve alan adları örnek değerlerdir. Saldırgan altyapısı olarak engelleme listelerine eklenmemelidir. Önceki SD-WAN vakalarının IOC'leri bu CVE'ye atfedilmemelidir.

6.3. Tespit Kuralı Önerisi

Cisco duyurusu, bu zafiyet için Snort kuralı 67179'a bağlantı vermektedir. Cisco Talos kural yayınında 3:67179 tanımlayıcılı kural “SERVER-WEBAPP Cisco Catalyst SD-WAN Manager authentication bypass attempt” iletisini kullanmaktadır. Kural, kimlik doğrulama atlatma girişimlerini tespit etmeye yöneliktir ve girişimin başarılı olduğunu kanıtlamamaktadır.1 10

Kurum içi davranış korelasyonu için şu adımlar önerilmektedir:

1. İnternete açık SD-WAN Manager sistemlerinin sürümünün ve düzeltme durumunun belirlenmesi.
2. Erişim kaydında j_security_check ile ilişkili, yolunda kodlanmış karakter bulunan ve bilinmeyen kaynaklardan gelen isteklerin aranması.
3. Aynı zaman aralığında sunucu kaydında viptela-reserved- ile başlayan hesaplar adına oluşturulan oturumların ilişkilendirilmesi.
4. Bu oturumları izleyen kullanıcı, yapılandırma, şablon ve politika değişikliklerinin denetim kayıtlarıyla karşılaştırılması.
5. Eşleşme bulunması hâlinde sistemin yalnızca hedeflenmiş değil, olası güvenlik ihlaline uğramış olarak ele alınması ve olay müdahalesi başlatılması.

Bu korelasyon hazır veya doğrulanmış bir istismar imzası değildir. Sürüm bilgisine dayalı zafiyet taraması da yalnızca savunmasız sürümü gösterir. İstismar veya ihlal kanıtı değildir. Kurallar üretime alınmadan önce kontrollü ortamda test edilmelidir.

7. Kaynaklar

1. Cisco - Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability
2. Cisco - Cisco Catalyst SD-WAN Manager (formerly vManage)
3. Cisco - Cisco Catalyst SD-WAN Hardening Guide
4. Cisco - Remediate Catalyst SD-WAN Security Advisory - June 2026
5. Cisco - Cisco Catalyst SD-WAN Vulnerabilities
6. Cisco - Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability
7. Cisco - Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability
8. Cisco - Cisco Catalyst SD-WAN Controller, Catalyst SD-WAN Manager, and Catalyst SD-WAN Validator Authenticated Privilege Escalation Vulnerability
9. Cisco - Cisco Catalyst SD-WAN Manager Arbitrary File Write Vulnerability
10. Cisco Talos / Snort - Snort - Network Intrusion Detection & Prevention System
11. NCSC New Zealand - CVE-2026-76504 affecting Cisco Catalyst SD-WAN Manager
12. CISA - Known Exploited Vulnerabilities Catalog
13. CVE Program - Cisco Catalyst SD-WAN Manager System Account Authorization Bypass Vulnerability
14. NIST NVD - CVE-2026-76504
15. FIRST - EPSS API
16. VulnCheck - Revenge of the SD-WAN: Exploring and Exploiting Yet Another Critical Cisco SD-WAN Vulnerability (CVE-2026-76504)
17. Horizon3 - CVE-2026-76504: Cisco SD-WAN Auth Bypass