先說結論：自行管理 Cisco Catalyst SD-WAN Manager 的團隊應立即核對 CVE-2026-76504。Cisco 九月三十日公告管理 API 存在驗證繞過，未登入的遠端行為可能取得管理員權限；原廠在九月已察覺實際利用，CISA 同日納入 KEV。API 是供系統程式交換資料的管理介面，SD-WAN Manager 則負責集中管理廣域網路。Cisco 十月二日更新公告，增加暫時防護選項，但清楚說明只有升級固定軟體版才算修復。本文十月四日重新查核兩個官方來源，不把暫時遮蔽或網路隔離當成漏洞消失。
背景與前因：Catalyst SD-WAN Manager 通常保存路由與邊緣設備的集中管理資訊，若管理權限被繞過，風險會超過單一登入頁面。Cisco 的公告在九月三十日首次發布，並在十月二日增補 Live Protect Shield 資訊；這種日期差異意味著補刊必須依最新版本整理，而不是只重述首次公告。CISA 九月三十日收錄 CVE，強化優先處置訊號。公告對雲代管與本地客戶環境給出不同處理說明，不能將 Cisco 已更新其管理的雲服務，誤寫成每個客戶自建平台都已同步完成。
原因與前置條件：Cisco 將原因歸於管理 API 對編碼後路徑的處理不當，使原本應受保護的端點可能繞過驗證規則。路徑編碼是把網址中的字元轉成另一種表示方式；若安全規則與應用程式的解讀不同，就可能出現權限判斷落差。原廠指出此弱點不依賴特定系統配置，且可能讓未登入者以 admin 權限接觸 API。這是對受影響版本的風險描述，不等於每個部署都已被操作。公開文章不展示編碼字串、請求格式或可直接重製的繞過方法。
影響範圍：Cisco 固定版表列出 20.9 支線首個固定版 20.9.10.1、20.12 為 20.12.8.2、20.15 為 20.15.6.1、20.18 為 20.18.4.1、26.1 為 26.1.2.1、26.2 為 26.2.1；早於 20.9 的環境需遷移到固定支線。Cisco 管理的 SD-WAN Cloud 已於 20.15.605 處理，並說明該雲服務客戶無需自行修補，但可在服務畫面核對狀態。其他產品是否受影響應以原廠列明的產品範圍為準。多節點或備援部署要逐台讀回版本，不能只看中央管理清單。
這個事件至少有兩個需要分開閱讀的官方時間點。Cisco 在 2026-09-30 公開與 CVE-2026-76504 相關的產品資訊；CISA 於 2026-09-30 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。Cisco 將 Live Protect Shield 定位為暫時部分防護，沒有說套用後就完全修復；雲代管已處理也不等於客戶自建平台已更新。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Cisco Catalyst SD-WAN Manager 管理平台，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先列出每個 Manager 節點、實際軟體版、是否自行管理、管理 API 的網路可達性與維運責任。依 Cisco 固定版表安排升級，升級前保存設定與存取、管理及系統日誌；升級後逐節點回讀版本，驗證控制與管理流程。原廠表示沒有能根治漏洞的變通方法，Live Protect Shield 只提供暫時且部分防護，可能影響某些合法登入；若採用應記錄限制、監控效果與正式升級期限。減少不可信網路對控制元件的存取有助於降低暴露，仍不能取代升級。對可疑操作應先保存證據並依原廠支援程序調查。
盤點時可以把每一個SD-WAN Manager 節點寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排SD-WAN Manager 固定版升級之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這起事件最容易混淆三個狀態：原廠管理雲服務已處理、客戶本地平台套用臨時 Shield、以及客戶本地平台真正升級到固定版。只有第三種能證明自建環境完成漏洞修補。Cisco 也提醒公告中的可疑紀錄範例可能與正常操作重疊，不能單憑一條日誌宣布受害；反過來，沒有命中某個字串也不足以宣稱未被碰觸。應以授權方式比對不同日誌、管理員活動和實際版本，保存原始時間線。本文不重製攻擊請求或內部日誌樣本，以維持防守導向。
仍須由使用單位自行回答的問題是：目前有多少SD-WAN Manager 節點、哪些仍在受影響版本、SD-WAN Manager 固定版升級是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Cisco 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-76504，原廠事件日期為 2026-09-30，CISA KEV 收錄日為 2026-09-30，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Cisco Catalyst SD-WAN Manager 管理平台 的實際部署範圍、按原廠指引完成SD-WAN Manager 固定版升級、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability（Cisco）
- Known Exploited Vulnerabilities Catalog — CVE-2026-76504（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。