Cisco Catalyst 4506-E 交換器的前面板與模組 — 示意圖（資料照片），Cisco Catalyst 4506-E 交換器面板；本案受影響的是 SD-WAN Manager 管理軟體，不是這台機型。X-Javier 攝，CC BY-SA 4.0，Wikimedia Commons。

資安CiscoSD-WANCISA KEV

有分公司網路的企業注意：Cisco SD-WAN 管理軟體漏洞已遭利用，不用密碼就能拿到管理者權限，今年第三筆列入 KEV 的同類漏洞

趨勢新聞2026 年 10 月 28 日

Cisco Catalyst SD-WAN Manager（舊名 vManage）是 Cisco 賣給企業的網管軟體，用一個畫面集中管理總公司與分公司、工廠、門市之間的網路連線設定。Cisco 9 月 30 日公告，這套軟體有一個漏洞（編號 CVE-2026-76504；CVE 是漏洞的全球統一編號）已經被人拿來攻擊：攻擊者不必帳號密碼，從網路上送一個特製的請求，就能以管理者（admin）的權限存取系統。同一天，美國網路安全暨基礎設施安全局（CISA）把它列入已遭利用漏洞目錄（KEV，CISA 確認已有人實際利用的漏洞清單）。本站的讀法：要處理的是用了這套軟體、版本還沒升級的企業，不論是自己維運還是委外代管；WordPress 等網站程式與家用路由器不是這次的受影響產品，要不要處理看公司網路有沒有用 SD-WAN Manager。該做的事是請網管或代管廠商把 SD-WAN Manager 升到修補版，例如 20.15 分支要升到 20.15.6.1 以上，各分支版本見下文。

我會不會受影響？

不確定公司有沒有用：請網管或代管廠商確認網路裡有沒有 Cisco Catalyst SD-WAN Manager。確認沒有，就不受這個漏洞直接影響；據點只有一個不能當判斷依據（本站的讀法）。
網站、WordPress、網路商店：網站程式本身沒有這個漏洞（Cisco 列的受影響產品是 SD-WAN Manager）；公司網路若也用這套管理軟體，一樣要查（本站的讀法）。
分公司、工廠或門市的網路由網管或系統整合商用 Cisco SD-WAN 串起來：請對方查 SD-WAN Manager 的版本，自己維運或委外代管都一樣。Cisco 寫，只要是未修補的版本，不論系統怎麼設定都有這個漏洞；公告另提醒，系統與連接埠對網際網路開放的，有遭入侵的風險。
用 Cisco 自己代管的雲端版（SD-WAN Cloud，Cisco Managed）：Cisco 寫已在 20.15.605 版修好，使用者不必動作，可在服務介面的 Help 功能查目前版本。

一個字元換個寫法，就繞過登入檢查

Cisco 的說明是，系統在檢查 API（程式之間互相呼叫的介面）請求時，沒有正確處理網址編碼，請求因此繞過一條原本用來限制某個 API 端點存取的認證規則。網址編碼是用「%」加兩位十六進位數字代表一個位元組，例如字母 j 可寫成 %6a。公告的範例把登入端點 j_security_check 寫成 /%6a_security_check，並註明這只是範例，請求中任何一個字元改用編碼都能利用（本站譯）。本站的讀法：%6a 與 j 對伺服器是同一個字，規則若只比對字面寫法，換個寫法就可能不被攔下；Cisco 沒有公開比對規則的實作細節。

這個漏洞的 CVSS 3.1 評分（0 到 10 分的嚴重度，越高越嚴重）是 9.8。Cisco 寫，沒有能解決這個漏洞的替代做法（workaround），唯一的修正方式是升級；Cisco 產品資安事件應變小組（PSIRT）在 2026 年 9 月得知它已遭實際利用，漏洞是在處理一件技術支援中心（TAC）的客戶案件時發現的。誰在利用、打了多少系統、從哪一天開始，本站讀到的 Cisco 公告、CISA 警示與 KEV 條目都沒有寫，勒索軟體欄寫「未知」。三份官方文件對它的稱呼不同，搜尋時都可能碰到：Cisco 公告「API Authentication Bypass」、CVE 紀錄「System Account Authorization Bypass」、KEV「Hex Encoding Vulnerability」。

修補版與暫時保護

各分支的第一個修補版：20.9 是 20.9.10.1，20.12 是 20.12.8.2，20.15 是 20.15.6.1，20.18 是 20.18.4.1，26.1 是 26.1.2.1，26.2 是 26.2.1；早於 20.9 的版本，Cisco 要求遷移到有修補的版本，升級前可用 Cisco 的元件相容性與升級對照表規劃。

來不及升級的，Cisco 10 月 2 日（GMT）更新公告（1.1 版），加上一個 Live Protect 防護規則（shield），只提供暫時、部分的保護，用意是爭取規劃升級與保存治理、合規所需資料的時間；副作用是網址帶編碼的正常使用者可能無法登入。地端部署（On-Prem）環境，Cisco 建議不讓網際網路等不受信任的網路連到系統；必須對外時，只開放已知、可信任的主機與使用手冊列出的連接埠和協定，並放在防火牆後過濾進出流量。Cloud Hosted 環境，Cisco 寫這項限制已替客戶部署。Cisco 也提醒，任何緩解措施都可能影響網路功能或效能，要先評估。

有沒有被入侵：先留證據，再查兩個日誌

公告列了兩個日誌：/var/log/nms/containers/service-proxy/serviceproxy-access.log 與 /var/log/nms/vmanage-server.log，都是找來自不明或未授權 IP、與 j_security_check 有關的紀錄，也包括 /%6a_security_check 這類編碼寫法，只搜完整字串會漏掉；第二個日誌特別要看使用者名稱以 viptela-reserved- 開頭的，Cisco 說明這類名稱是系統服務帳號。這些跡象在正常運作中也可能出現，Cisco 提醒要對照平常的網路狀況判斷。需要協助的，以 Severity 3 開 TAC 案件、標題寫上 CVE 編號，開案前先在 SD-WAN Manager 執行 request admin-tech 產生診斷檔。公告另附一般強化建議（日誌送外部伺服器並保存夠久、更換預設管理者密碼、替每位管理人員建操作員帳號等），見原文框的 Cisco 公告。

美國聯邦機關的期限

KEV 條目的處理期限是 10 月 3 日（星期六），依 CISA 的約束性作業指令 BOD 26-04（CISA 給美國聯邦機關的強制規定）訂定，只約束聯邦文職行政部門機關；CISA 當天的警示鼓勵所有組織優先修補 KEV 裡的漏洞。這筆條目的鑑識欄是「是」：期限內完成修補或緩解之外，還要做鑑識初判，查系統是否已遭入侵。CISA 的實施指引建議盡可能先蒐集證據再修補，因為修補可能讓證據消失，並說明各步驟時程是建議，不是硬性要求。CVE 紀錄上，CISA 的評估是主動利用、攻擊可自動化、技術影響「完全」（可完全控制受影響的軟體）。本站的讀法：這三項對到 BOD 26-04 時程表上「3 天加鑑識初判」那一格，與條目期限一致（期限怎麼算，見本站先前的整理）；不過 CISA 警示把優先對象放在對外公開的資產，KEV 條目也要各機關逐一評估資產是否對外曝露。

今年第三筆

本站篩選 CISA 10 月 26 日版的 KEV 資料（廠商為 Cisco、產品名含 SD-WAN、2026 年列入），共 9 筆；說明同時寫「未經認證」「遠端」並可取得管理者權限的有三筆：2 月 25 日的 CVE-2026-20127、5 月 14 日的 CVE-2026-20182，加上這一筆。在這一版資料裡，前兩筆的「應採取行動」欄要求照 CISA 針對 Cisco SD-WAN 的緊急指令 ED 26-03 處理，這一筆引的是 BOD 26-04。三筆之間有沒有關聯，Cisco 公告沒有說明。

原文 Cisco 安全公告 cisco-sa-sdwan-webauth-xr8beuuU（2026-09-30 發布，10-02 更新為 1.1 版），漏洞機制、遭利用的說明、受影響範圍、修補版、Live Protect、網路存取限制、入侵跡象與強化建議取自此頁； KEV 條目 CVE-2026-76504，列入日期、處理期限、鑑識欄與勒索軟體欄，以及 2026 年 Cisco SD-WAN 條目的篩選，取自 CISA 的 KEV JSON 資料檔（2026.10.26 版）； CISA 警示（2026-09-30），BOD 26-04 的適用對象與對一般組織的建議取自此頁； BOD 26-04，約束對象與鑑識初判的定義取自此頁；BOD 26-04 實施指引，鑑識初判的建議步驟與「先蒐證再修補」取自此頁； CVE-2026-76504 紀錄，CVE 標題、CVSS 評分與 CISA 的評估欄取自此處； NVD 頁面，用來核對受影響版本範圍。