Cisco

木曜日、シスコは、Cisco Catalyst SD-WAN Manager に存在する、深刻度が高く、パッチが適用されていないゼロデイ脆弱性（CVE-2026-20245として追跡）について警告を発しました。この脆弱性は、ルート権限の昇格を可能にする攻撃において、現在も積極的に悪用されています。

このゼロデイ脆弱性は、オンプレミス展開、Cisco SD-WAN Cloud-Pro、Cisco SD-WAN Cloud（Cisco Managed）、およびCisco SD-WAN for Government（FedRAMP）を含む、すべての展開タイプに影響を及ぼします。

木曜日に発表されたアドバイザリで、シスコはこの問題がユーザー入力に対する検証が不十分であることに起因しており、これにより、権限の低いローカル攻撃者がrootとして任意のコマンドを実行できる可能性があると述べた。

image

「攻撃者は、細工されたファイルを影響を受けるシステムにアップロードすることで、この脆弱性を悪用する可能性があります。悪用が成功した場合、攻撃者は影響を受けるシステムに対してコマンドインジェクション攻撃を実行し、rootユーザーとして権限を昇格させることが可能になります」と同社は説明しています。

「この脆弱性を悪用するには、攻撃者は影響を受けるシステム上でnetadmin権限を持っている必要があります。これには有効な認証情報、またはCVE-2026-20182もしくはCVE-2026-20127の悪用が必要となります。シスコは、他の方法による悪用の成功事例を把握していません」と同社は付け加えた。 「シスコは、他の方法による悪用成功事例を把握していません。シスコは、このバグの悪用によりエッジデバイスに設定変更が適用された事例を、限定的ではありますが確認しています。」

以前はSD-WAN vManageとして知られていたこのネットワーク管理ソフトウェアは、管理者が単一のダッシュボードから最大6,000台のCatalyst SD-WANデバイスを監視・管理できるようにするものです。

シスコの製品セキュリティインシデント対応チーム（PSIRT）は、Google Cloudのサイバーセキュリティ子会社であるMandiantがこの脆弱性を報告したものの、詳細を共有しなかったため、6月にCVE-2026-20245の悪用を把握した。

しかし、同社は侵害の兆候（IOC）を共有し、管理者にSD-WANの/var/log/scripts.logファイルを確認するよう警告しました。これは、以下の例のように、正当なコマンドを通じて権限を昇格させる目的で、テナント設定データをvSmartコントローラーにアップロードしようとする試みがないかを確認するためです：

4月15日 09:44:57 vmanage vScript: vSmartシリアル番号ごとのテナントリストのアップロード: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0

「Cisco Catalyst SD-WAN Managerが侵害されているかどうかを判断するための支援が必要な場合、お客様はCisco TACにケースを開くことができます」と同社は付け加え、管理者はまず調査の参考となるadmin-techファイルを収集するようアドバイスしました。

セキュリティパッチはまだ提供されていない

先月、Ciscoはまた、Catalyst SD-WAN Controllerの認証バイパス脆弱性（CVE-2026-20182）について、パッチ未適用のデバイス上で管理者権限を取得するためにゼロデイとして積極的に悪用されているとして、最大深刻度を付与しました。

シスコはCVE-2026-20245に対するパッチをまだリリースしていないが、5月14日にCVE-2026-20182の修正済みソフトウェアへのアップグレードを顧客に推奨した。

2月、シスコは別のCatalyst SD-WAN Managerの情報漏洩のセキュリティ脆弱性（CVE-2026-20133）に対してパッチを適用しましたが、CISAは4月下旬にこれが実際に悪用されていると指摘し、 その2週間後には、さらに2つの脆弱性（CVE-2026-20128およびCVE-2026-20122）が実環境で悪用されていると警告した。

また3月には、少なくとも2023年以降ゼロデイ攻撃で悪用されていた重大な認証バイパス脆弱性（CVE-2026-20127）に対処し、その存在を公表した。

過去数年間で、CISAは90件のシスコの脆弱性を実環境で悪用されているものとして特定しており、そのうち4件はCisco Catalyst SD-WAN Managerに、さらに6件はランサムウェア攻撃によって悪用されていた。