Pada 30 September 2026, jam 4 petang waktu Riyadh, Cisco menerbitkan nasihat keselamatan bagi CVE-2026-76504 dalam Cisco Catalyst SD-WAN Manager, sistem yang digunakan oleh syarikat berbilang cawangan untuk mengendalikan seluruh rangkaian cawangan mereka dari satu skrin. Skor keterukannya ialah 9.8 daripada 10, eksploitasi tidak memerlukan akaun atau kata laluan, Cisco menyatakan ia mengetahui tentang eksploitasi aktif sepanjang September, dan tiada penyelesaian sementara. Pada hari yang sama, Pihak Berkuasa Keselamatan Siber Kebangsaan Arab Saudi (NCA) mengeluarkan amaran 2026-7889 pada tahap keterukan Kritikal, meminta organisasi menyemak nasihat tersebut dan memasang kemas kini.

Soalan utama bukan soal teknikal: siapa yang menampalnya?

Dua minggu lalu kami menulis tentang kelemahan yang dieksploitasi dalam satu lagi perkakasan Cisco, iaitu perkakasan yang mengawal identiti dan akses, dan di sana kami membincangkan asas pengurusan kelemahan. Kali ini soalan yang paling penting bukan soal teknikal. Mungkin anda langsung tidak mengendalikan rangkaian cawangan anda sendiri: pengendali telekomunikasi atau syarikat IT mungkin mengendalikannya bagi pihak anda di bawah kontrak perkhidmatan terurus. Jika begitu, siapa yang menaik taraf sistem malam ini, siapa yang menyemak sama ada seseorang telah masuk sebelum naik taraf, dan apakah kata kontrak anda jika kedua-duanya tidak berlaku?

Apa yang sebenarnya diterbitkan oleh Cisco

Berita ini baru berusia beberapa jam, jadi fakta-fakta ini datang terus daripada nasihat Cisco dan amaran NCA, bukan daripada laporan akhbar:

  • Produk: Cisco Catalyst SD-WAN Manager, dahulunya dikenali sebagai vManage. Nasihat tersebut menyatakan ia terjejas tanpa mengira cara ia dikonfigurasikan.
  • Punca: pengendalian pengekodan URI yang tidak betul dalam permintaan HTTP membolehkan permintaan yang direka khas memintas peraturan pengesahan yang bertujuan melindungi titik akhir API tertentu, lalu penyerang mencapai API dengan keistimewaan pengguna admin.
  • Prasyarat: tiada. Penyerang jarak jauh yang tidak disahkan, dan skor asas CVSS 9.8.
  • Status: sedang dieksploitasi secara aktif. Cisco PSIRT menyatakan ia mengetahui tentang eksploitasi itu pada September 2026, dan kelemahan ini ditemui semasa menyelesaikan kes sokongan Cisco Technical Assistance Center.
  • Penyelesaian sementara: tiada. Pembaikannya ialah menaik taraf kepada keluaran yang telah dibaiki.
  • Amaran tempatan: amaran NCA 2026-7889, bertarikh 30 September 2026. Ia menyenaraikan 14 sektor sasaran, pada hakikatnya kesemuanya, daripada perdagangan dan pelaburan, kewangan dan ekonomi serta penjagaan kesihatan hinggalah pendidikan, pengangkutan dan pembuatan.

Keluaran yang telah dibaiki, menurut nasihat tersebut:

Siri keluaran semasaKeluaran pertama yang dibaiki
Lebih awal daripada 20.9Berpindah ke keluaran yang telah dibaiki
20.920.9.10.1
20.1220.12.8.2
20.1520.15.6.1
20.1820.18.4.1
26.126.1.2.1
26.226.2.1

Perhatikan baris pertama. Sesiapa yang menggunakan keluaran lebih awal daripada 20.9 bukan berdepan dengan kemas kini kecil, tetapi perpindahan ke siri keluaran lain. Ia memerlukan perancangan, dan ia tidak boleh menunggu.

Mengapa sistem ini secara khusus

Rangkaian SD-WAN menghubungkan cawangan, gudang dan ibu pejabat melalui apa sahaja sambungan yang tersedia, dan semuanya diuruskan dari satu sistem pusat. Di situlah dasar ditulis: trafik mana melalui pautan mana, cawangan mana boleh mencapai sistem mana, dan tetapan mana yang dihantar ke penghala di setiap lokasi. Satu perubahan di pusat sampai ke setiap cawangan. Itulah tujuannya.

Ciri yang sama itulah bahayanya. Sesiapa yang mencapai API sistem ini dengan keistimewaan admin bukan berdepan dengan satu peranti, tetapi dengan konsol yang menguruskan konfigurasi seluruh rangkaian. Titik jualan di cawangan, pautan ke gudang dan akses kepada sistem perakaunan dari luar ibu pejabat mungkin semuanya berjalan di atas rangkaian yang dikawal oleh sistem ini. Ia patut berada di bahagian teratas senarai aset kritikal, sejauh mana pun ia kelihatan daripada pengurusan harian.

Awan Cisco atau pusat data anda? Itu yang menentukan siapa yang bertindak

Nasihat tersebut membezakan dua cara mengendalikan sistem ini, dan perbezaannya sangat praktikal:

  • Dalam awan Cisco: nasihat tersebut menyatakan bahawa kelemahan ini menjejaskan SD-WAN Manager tanpa mengira konfigurasi, dan ia menerangkan dua kes awan. Dalam persekitaran Cisco Catalyst SD-WAN Cloud Hosted, Cisco telah pun melaksanakan langkah mitigasi sekatan akses, tetapi mitigasi bukan pembaikan, jadi naik taraf kepada keluaran yang telah dibaiki daripada jadual di atas masih diperlukan, dan anda patut bertanya siapa yang melaksanakannya. Dalam Cisco SD-WAN Cloud (Cisco Managed), keluaran 20.15.605 menangani kelemahan ini, Cisco menyatakan tiada tindakan pengguna diperlukan, dan versinya boleh disemak melalui fungsi Help dalam antara muka perkhidmatan. Hanya dalam kes terakhir ini naik taraf menjadi tanggungjawab vendor. Tugas anda tetap untuk mendapatkan pengesahan bertulis dan meminta log disemak bagi tempoh sebelumnya.
  • Di premis, di lokasi anda atau di pusat data pembekal anda: di sini tiada sesiapa akan menaik taraf sistem bagi pihak anda melainkan kontrak menyatakannya. Sehingga naik taraf dilakukan, langkah mitigasi yang diterangkan oleh Cisco ialah menyekat akses kepada sistem daripada rangkaian yang tidak selamat seperti internet, dan melindungi komponen kawalan SD-WAN di belakang peranti penapisan seperti tembok api.

Jadi soalan pertama bukanlah sama ada anda menggunakan Cisco. Soalannya ialah di mana sistem pengurusan rangkaian anda berjalan dan siapa yang bertanggungjawab menaik tarafnya. Jika hanya pembekal yang tahu jawapannya, itulah jurang pertama yang perlu ditutup, dan ia bukan jurang teknikal.

Naik taraf tidak memberitahu sama ada seseorang telah masuk lebih awal

Cisco mengetahui tentang eksploitasi itu sepanjang September dan menerbitkan pembaikan pada hari terakhir bulan tersebut. Dalam erti kata lain, kelemahan ini sedang dieksploitasi sebelum wujud sebarang kemas kini untuk dipasang. Naik taraf malam ini menutup pintu. Ia tidak memberitahu sama ada seseorang telah pun melaluinya dan meninggalkan akaun atau perubahan konfigurasi.

Sebab itulah Cisco menerbitkan penunjuk untuk dicari oleh pasukan IT atau pembekal anda dalam dua log khusus pada sistem, serviceproxy-access.log dan vmanage-server.log:

  • Permintaan kepada j_security_check daripada alamat IP yang tidak dikenali atau tidak dibenarkan.
  • Sebarang aksara yang dikodkan URI dalam laluan permintaan, seperti %6a_security_check, di mana %6a ialah huruf j yang dikodkan. Begitulah eksploit itu menyelinap melepasi peraturan pengesahan. Cisco menegaskan bahawa %6a hanyalah contoh: pengekodan mana-mana satu aksara dalam permintaan boleh digunakan, jadi pasukan perlu mencari setiap varian j_security_check yang dikodkan, bukan hanya %6a.
  • Khusus dalam vmanage-server.log: permintaan j_security_check daripada alamat yang tidak dikenali yang dibuat untuk nama pengguna yang bermula dengan viptela-reserved-. Ini ialah akaun perkhidmatan terbina dalam sistem, jadi kemunculan nama itu dalam log bukanlah tanda pencerobohan dengan sendirinya. Yang penting ialah sumber yang tidak dikenali.

Cisco juga memberi amaran bahawa penunjuk ini kadangkala boleh muncul semasa operasi biasa, jadi ia perlu dibandingkan dengan aktiviti biasa rangkaian sebelum membuat kesimpulan.

Pengajaran yang sama timbul minggu ini dengan dua kelemahan kritikal Citrix NetScaler yang ditambah oleh Agensi Keselamatan Siber dan Keselamatan Infrastruktur Amerika Syarikat (CISA) ke dalam katalog Kelemahan Diketahui Telah Dieksploitasi (Known Exploited Vulnerabilities) pada 27 September. CISA menyatakan bahawa pelaku ancaman sedang mengeksploitasinya secara aktif di seluruh dunia, menggalakkan organisasi menyemak tanda-tanda pencerobohan sebelum menampal jika boleh, dan menyatakan bahawa mana-mana organisasi yang mengesyaki pencerobohan perlu memelihara bukti forensik sebelum memasang kemas kini, kerana kemas kini boleh memadamkan jejak apa yang berlaku. Peraturan ini terpakai di sini juga: semak, simpan salinan log, kemudian naik taraf, tanpa membiarkan semakan menjadi alasan untuk menangguhkan naik taraf berhari-hari.

Jika rangkaian anda ialah perkhidmatan terurus: apakah kata kontrak anda?

Kawalan Keselamatan Siber Penting (Essential Cybersecurity Controls) NCA, edisi 2024, mengikat entiti kerajaan dan syarikat gabungannya, serta entiti sektor swasta yang memiliki, mengendalikan atau menjadi hos kepada Infrastruktur Kritikal Negara. NCA amat menggalakkan semua organisasi lain di Kerajaan Arab Saudi menggunakannya. Walaupun syarikat anda tidak terikat dengannya, kawalan ini ialah rujukan tempatan yang paling jelas tentang apa yang patut ada dalam kontrak mana-mana pembekal yang mengendalikan sebahagian teknologi anda:

  • Dalam kontrak dengan pihak ketiga yang, jika terjejas, boleh menjejaskan data atau perkhidmatan anda, termasuk perjanjian tahap perkhidmatan: kerahsiaan dan pemadaman selamat data anda pada akhir perkhidmatan, prosedur komunikasi apabila berlaku insiden keselamatan siber, dan kewajipan pihak ketiga untuk melaksanakan keperluan dan dasar keselamatan siber anda (kawalan 4-1-2).
  • Khusus dalam kontrak dengan pembekal penyumberan luar IT dan perkhidmatan terurus: penilaian risiko keselamatan siber, dengan kawalan mitigasi yang disahkan, sebelum menandatangani, dan pusat perkhidmatan terurus keselamatan siber untuk pemantauan dan operasi yang menggunakan akses jarak jauh mesti terletak sepenuhnya di dalam Kerajaan Arab Saudi (kawalan 4-1-3).
  • Dalam pengurusan kelemahan: mengelaskan kelemahan mengikut tahap keterukan dan membaikinya mengikut pengelasan tersebut, melanggan sumber yang dipercayai untuk berita tentang kelemahan baharu, dan mengesahkan kemas kini dalam persekitaran bukan pengeluaran sebelum memasangnya (kawalan 2-10-3).

Perhatikan apa yang tidak dinyatakan oleh kawalan pengurusan kelemahan: ia tidak menetapkan sebarang tarikh akhir untuk memasang kemas kini kritikal. Angka itu perlu ditulis dalam kontrak anda sendiri. Jika tidak, pembekal akan menampal apabila ia mampu, bukan apabila anda memerlukannya.

Mesej untuk dihantar kepada pembekal anda hari ini

Anda tidak perlu mahir teknikal untuk bertanya soalan-soalan ini, dan anda tidak perlu menunggu mesyuarat. Minta jawapan secara bertulis:

  • Adakah rangkaian kami berjalan pada Cisco Catalyst SD-WAN Manager? Dan di manakah ia berjalan: dalam awan Cisco, di lokasi kami, atau di pusat data anda?
  • Keluaran manakah yang digunakan, dan bilakah ia akan dinaik taraf kepada keluaran yang telah dibaiki, mengikut tarikh dan jam?
  • Adakah antara muka pengurusan boleh dicapai dari internet sekarang? Jika ya, adakah anda telah menyekat akses sehingga naik taraf?
  • Adakah anda telah menyemak dua log yang dinamakan oleh Cisco untuk penunjuk yang diterbitkan, dan menyimpan salinannya sebelum menaik taraf? Apakah yang anda temui?
  • Siapakah yang memberitahu kami tentang amaran ini terlebih dahulu: anda, atau berita yang kami baca? Dan apakah prosedur yang dipersetujui untuk memaklumkan kami pada masa akan datang?

Soalan terakhir ialah yang paling penting. Jika anda mengetahui tentang amaran ini daripada sebuah artikel dan bukan daripada pembekal anda, masalahnya lebih besar daripada satu kelemahan ini.

Pandangan Origami

Kami membina sistem perniagaan. Kami tidak menjual atau mengendalikan peralatan rangkaian. Namun setiap sistem yang kami bina untuk pelanggan berbilang cawangan berjalan di atas rangkaian yang bukan kami reka bentuk: titik jualan cawangan menghantar data ke pelayan, gudang mengemas kini stok, invois elektronik dihantar ke platform. Dan jawapan biasa kepada soalan siapa yang menampal rangkaian ialah: pembekal menguruskan segalanya. Ia jawapan yang menenangkan, dan ia bukan jawapan.

Bagi pemilik perniagaan di Arab Saudi, kami melihat kelemahan ini sebagai peringatan bahawa penyumberan luar memindahkan kerja tetapi bukan tanggungjawab. Perkhidmatan terurus ialah pilihan yang tepat bagi banyak syarikat, dengan syarat kontraknya mengandungi tiga perkara yang boleh diukur: tarikh akhir yang dinyatakan untuk memasang kemas kini kritikal, notis bertulis bagi setiap amaran yang menjejaskan sistem anda, dan laporan selepas setiap insiden yang menyatakan apa yang disemak dan apa yang ditemui. Klausa-klausa ini tidak merugikan pembekal yang baik, dan ia mendedahkan pembekal yang lemah sebelum sesuatu kelemahan berbuat demikian.

Kesimpulan

  • Jika anda mengendalikan Cisco Catalyst SD-WAN Manager di lokasi anda atau di lokasi pembekal anda, naik taraf kepada keluaran yang telah dibaiki ialah kerja segera, bukan kerja berjadual, dan keluaran yang lebih awal daripada 20.9 perlu berpindah ke siri yang telah dibaiki.
  • Sehingga naik taraf: sekat akses kepada sistem dari internet dan letakkan komponen kawalan di belakang tembok api, seperti yang diterangkan dalam nasihat tersebut.
  • Semak kedua-dua log dan simpan salinannya sebelum menaik taraf, kerana eksploitasi bermula sebelum pembaikan diterbitkan.
  • Jika rangkaian ialah perkhidmatan terurus, hantar soalan-soalan di atas hari ini, kemudian tambah tarikh akhir kemas kini kritikal dan prosedur pemberitahuan ke dalam kontrak semasa pembaharuan seterusnya.

Sumber