本文内容
2026年9月30日利雅得时间下午4点，Cisco 发布了关于 Cisco Catalyst SD-WAN Manager 中 CVE-2026-76504 的安全公告。多分支机构企业使用这一系统在一个屏幕上管理整个分支机构网络。严重性评分为 9.8（满分为 10），利用漏洞既不需要账户也不需要密码，Cisco 表示在九月期间获悉了主动利用的情况，而且没有临时解决方法。同一天，沙特阿拉伯国家网络安全局（NCA）发布了严重性为“严重”的警报 2026-7889，要求各组织查阅公告并安装更新。
关键问题不在技术：谁来打补丁？
两周前，我们写过另一款 Cisco 设备（负责身份和访问管理的那一款）中一个已被利用的漏洞，并在那篇文章中介绍了漏洞管理的基础知识。这一次，最重要的问题并不在技术层面。您可能根本不自己运营分支机构网络：电信运营商或 IT 公司可能按照托管服务合同替您运营。如果是这样，今晚谁来升级系统，谁来检查升级前是否有人已经入侵，如果这两件事都没有发生，您的合同又是怎么说的？
Cisco 实际公布了什么
消息才发布几个小时，因此以下事实直接来自 Cisco 的公告和 NCA 的警报本身，而不是媒体报道：
- 产品：Cisco Catalyst SD-WAN Manager，原名 vManage。公告指出，无论如何配置，它都会受到影响。
- 原因：HTTP 请求中对 URI 编码的处理不当，使精心构造的请求能够绕过一条用于保护特定 API 端点的身份验证规则，从而让攻击者以 admin 用户的权限访问 API。
- 前提条件：无。远程、未经身份验证的攻击者，CVSS 基础评分为 9.8。
- 状态：正被主动利用。Cisco PSIRT 表示，它在 2026年9月获悉了漏洞利用情况，该漏洞是在处理一个 Cisco Technical Assistance Center 支持案例时发现的。
- 临时解决方法：无。修复方法是升级到已修复版本。
- 本地警报：NCA 警报 2026-7889，日期为 2026年9月30日。它列出了 14 个目标行业，实际上涵盖了所有行业，从商业与投资、金融与经济和医疗卫生，到教育、交通和制造业。
根据公告，已修复版本如下：
| 当前版本系列 | 首个已修复版本 |
|---|---|
| 早于 20.9 | 迁移到已修复版本 |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
请注意第一行。使用早于 20.9 版本的用户面对的不是一次小更新，而是迁移到另一个版本系列。这需要规划，而且不能等。
为什么偏偏是这个系统
SD-WAN 网络通过任何可用的连接将分支机构、仓库和总部连接起来，并且全部由一个中央系统管理。策略就是在那里编写的：哪些流量走哪条线路，哪个分支机构可以访问哪个系统，以及向每个站点的路由器推送哪些设置。中心的一处更改会传达到每一个分支机构。这正是它的意义所在。
同样的特性也正是危险所在。以管理员权限访问到该系统 API 的人，面对的不是一台设备，而是管理整个网络配置的控制台。分支机构的销售终端、通往仓库的链路，以及从总部以外访问会计系统，可能全都运行在由该系统控制的网络上。无论它看起来离日常管理有多远，都应该排在关键资产清单的最前面。
Cisco 云还是您的数据中心？这决定了谁来行动
公告区分了两种运行该系统的方式，区别非常实际：
- 在 Cisco 云中：公告称，无论配置如何，该漏洞都会影响 SD-WAN Manager，并描述了两种云端情形。在 Cisco Catalyst SD-WAN Cloud Hosted 环境中，Cisco 已经部署了限制访问的缓解措施，但缓解措施不等于修复，因此仍需升级到上表中的已修复版本，您应该问清楚由谁来执行。在 Cisco SD-WAN Cloud (Cisco Managed) 中，版本 20.15.605 已修复该漏洞，Cisco 表示用户无需采取任何操作，版本号可通过服务界面中的 Help 功能查看。只有在最后这种情况下，升级才由厂商负责。您的任务仍然是取得书面确认，并要求审查此前时段的日志。
- 本地部署，在您的场所或服务商的数据中心：在这种情况下，除非合同有规定，否则没有人会替您升级系统。在升级之前，Cisco 描述的缓解措施是限制来自互联网等不安全网络对系统的访问，并将 SD-WAN 控制组件置于防火墙等过滤设备之后加以保护。
所以，第一个问题不是您是否使用 Cisco，而是您的网络管理系统运行在哪里，以及谁负责升级它。如果只有服务商知道答案，那就是首先要弥补的缺口，而且这不是技术缺口。
升级并不能告诉您是否有人抢先入侵
Cisco 在九月获悉漏洞遭到利用，并在当月最后一天发布了修复。换句话说，在还没有任何可安装的更新之前，该漏洞就已经被利用了。今晚升级可以关上大门，但无法告诉您是否已经有人从这扇门进来，并留下了一个账户或一项配置更改。
因此，Cisco 公布了一些指标，供您的 IT 团队或服务商在系统的两个特定日志 serviceproxy-access.log 和 vmanage-server.log 中查找：
- 来自未知或未经授权 IP 地址的 j_security_check 请求。
- 请求路径中任何经过 URI 编码的字符，例如 %6a_security_check，其中 %6a 是编码后的字母 j。漏洞利用正是借此绕过身份验证规则。Cisco 强调 %6a 只是一个例子：请求中任何单个字符的编码都可能被利用，因此团队应查找 j_security_check 的所有编码变体，而不只是 %6a。
- 特别是在 vmanage-server.log 中：来自未知地址、针对以 viptela-reserved- 开头的用户名发出的 j_security_check 请求。这些是系统内置的服务账户，因此该名称出现在日志中本身并不是入侵的迹象。关键在于未知的来源。
Cisco 还提醒，这些指标有时也会在正常运行中出现，因此在下结论之前，需要将其与网络的日常活动进行比较。
本周，两个严重的 Citrix NetScaler 漏洞也印证了同样的教训。美国网络安全和基础设施安全局（CISA）于 9月27日将它们加入了已知被利用漏洞（Known Exploited Vulnerabilities）目录。CISA 表示，威胁行为者正在全球范围内积极利用这些漏洞，鼓励各组织在可能的情况下于打补丁前检查入侵迹象，并表示任何怀疑遭到入侵的组织都应在安装更新之前保全取证证据，因为更新可能会抹去事件的痕迹。这条规则在这里同样适用：先检查，保留一份日志副本，然后升级，但不要让检查成为将升级推迟数天的理由。
如果您的网络是托管服务：您的合同怎么说？
NCA 的《基本网络安全控制措施》（Essential Cybersecurity Controls）2024 年版，对政府机构及其附属公司具有约束力，也对拥有、运营或托管关键国家基础设施的私营部门实体具有约束力。NCA 强烈鼓励王国内所有其他组织采用。即使您的公司不受其约束，它们也是最清晰的本地参考，说明任何运营您部分技术的服务商的合同中应包含哪些内容：
- 在与一旦出现问题就可能影响您的数据或服务的第三方签订的合同中，包括服务级别协议：保密以及在服务结束时安全删除您的数据、发生网络安全事件时的沟通程序，以及第三方执行您的网络安全要求和政策的义务（控制项 4-1-2）。
- 特别是在与 IT 外包和托管服务提供商签订的合同中：签约前进行网络安全风险评估并确认缓解控制措施；使用远程访问进行监控和运营的网络安全托管服务中心必须完全位于王国境内（控制项 4-1-3）。
- 在漏洞管理方面：按严重性对漏洞进行分类并据此进行修复，订阅可信来源以获取新漏洞的消息，并在应用更新前先在非生产环境中进行验证（控制项 2-10-3）。
请注意漏洞管理控制措施没有说的内容：它们没有为安装关键更新设定任何期限。这个数字必须写进您自己的合同。否则，服务商会在它方便的时候打补丁，而不是在您需要的时候。
今天就发给服务商的一条消息
提出这些问题不需要懂技术，也不需要等开会。请要求对方书面回答：
- 我们的网络是否运行在 Cisco Catalyst SD-WAN Manager 上？它运行在哪里：Cisco 云中、我们的场所，还是你们的数据中心？
- 它是什么版本？何时升级到已修复版本，具体到日期和时间？
- 管理界面现在是否可以从互联网访问？如果可以，你们是否已在升级前限制了访问？
- 你们是否已按照公布的指标检查了 Cisco 指出的两个日志，并在升级前保留了副本？发现了什么？
- 是谁最先告诉我们这个警报的：是你们，还是我们读到的一条新闻？下次通知我们的约定程序是什么？
最后一个问题最重要。如果您是从一篇文章而不是从服务商那里得知这条警报的，那么问题比这一个漏洞要大。
Origami 的观点
我们构建业务系统。我们不销售也不运营网络设备。但我们为多分支机构客户构建的每一个系统，都运行在一个并非由我们设计的网络之上：分支机构的销售终端向服务器发送数据，仓库更新库存，电子发票发送到平台。而对于谁来给网络打补丁这个问题，通常的回答是：服务商会处理一切。这是一个让人安心的回答，但它并不是答案。
对于沙特企业主，我们把这个漏洞解读为一个提醒：外包转移的是工作，而不是责任。对许多公司来说，托管服务是正确的选择，前提是合同中包含三项可衡量的内容：安装关键更新的明确期限、对影响您系统的每一条警报的书面通知，以及每次事件后说明检查了什么、发现了什么的报告。这些条款对优秀的服务商来说毫无成本，而且能在漏洞暴露问题之前，先暴露出薄弱的服务商。
要点总结
- 如果您在自己的场所或服务商那里运行 Cisco Catalyst SD-WAN Manager，升级到已修复版本是紧急工作，而不是排期工作；早于 20.9 的版本需要迁移到已修复的版本系列。
- 在升级之前：按照公告所述，阻止从互联网访问该系统，并将控制组件置于防火墙之后。
- 升级前检查两个日志并保留副本，因为漏洞在修复发布之前就已被利用。
- 如果网络是托管服务，今天就发出上述问题，并在下次续约时把关键更新期限和通知程序写进合同。
资料来源
常见问题
如果我们的 SD-WAN 系统托管在 Cisco 云中，我们的网络会受影响吗？
Cisco 的安全公告称，无论配置如何，该漏洞都会影响 SD-WAN Manager，并描述了两种云端情形。在 Cisco Catalyst SD-WAN Cloud Hosted 环境中，限制访问的缓解措施已经部署，但仍需升级到已修复版本。在 Cisco SD-WAN Cloud (Cisco Managed) 中，版本 20.15.605 已修复该漏洞，用户无需采取任何操作，版本号可在服务界面的 Help 中查看。请先确认您属于哪一种，然后取得书面确认，并要求审查此前时段的日志，因为漏洞在修复发布之前就已被利用。
我们今晚无法升级。在此期间该怎么办？
没有能够修复漏洞本身的临时解决方法。对于本地部署，Cisco 描述的缓解措施是限制来自互联网等不安全网络对系统的访问，并将 SD-WAN 控制组件置于防火墙等过滤设备之后加以保护。这能缩小可以接触到系统的范围，但不能替代升级。
我们如何知道在升级之前是否有人利用该漏洞入侵了我们的网络？
Cisco 公布了供您的 IT 团队在 serviceproxy-access.log 和 vmanage-server.log 中查找的指标：来自未知地址的 j_security_check 请求；请求中任何经过 URI 编码的字符，例如用 %6a 表示字母 j，因为 Cisco 表示任何单个字符的编码都可能被利用；以及在 vmanage-server.log 中，来自未知地址、用户名以 viptela-reserved- 开头的请求。这些是内置的服务账户，因此关键在于来源而不是名称。升级前请保留日志副本，因为正如 CISA 本周在一个类似案例中警告的那样，更新可能会抹去部分证据。
我们不是政府机构。《基本网络安全控制措施》适用于我们吗？
它们对政府机构及其附属公司具有约束力，也对拥有、运营或托管关键国家基础设施的私营部门实体具有约束力，NCA 并强烈鼓励所有其他组织采用。即使您不受约束，其中关于第三方和托管服务合同的条款也是检查服务商的实用清单：事件通报程序、签约前的风险评估，以及遵守您的安全政策的义务。
在 Google 上关注 Origami
把 Origami 设为首选来源，我们的文章就会优先出现在您的 Google 搜索和热门新闻中。
