シスコ、ゼロデイ攻撃で悪用されたSD-WAN vManageの脆弱性を修正

シスコは、Catalyst SD-WAN Manager に存在する脆弱性（CVE-2026-20262）に対処するためのセキュリティアップデートをリリースしました。この脆弱性は、攻撃において悪用され、root 権限への昇格が行われていました。

以前は「SD-WAN vManage」として知られていたこのネットワーク管理ソフトウェアにより、管理者は単一のダッシュボードから最大6,000台のSD-WANデバイスを管理できます。

今回修正されたこのゼロデイ脆弱性は、デバイスの構成にかかわらず、オンプレミス展開、Cisco SD-WAN Cloud-Pro、Cisco SD-WAN Cloud（Cisco Managed）、およびCisco SD-WAN for Government（FedRAMP）を含む、すべての展開タイプに影響を及ぼします。

シスコによると、この問題はファイルアップロード時のユーザー入力に対する検証が不十分であったことに起因しており、これにより、権限の低いリモート攻撃者が、細工されたHTTPリクエストを影響を受けるAPIエンドポイントに送信することで、root権限で任意のコマンドを実行できる可能性があるとのことです。

「Cisco Catalyst SD-WAN Manager（旧称：SD-WAN vManage）のWeb UIに存在する脆弱性により、認証済みのリモート攻撃者が、影響を受けるシステムのファイルシステム上にファイルを作成したり、任意のファイルを上書きしたりする可能性がある」と、シスコは月曜日に発表したアドバイザリで述べた。

「攻撃者は、影響を受けるシステムの該当APIエンドポイントに細工されたHTTPリクエストを送信することで、この脆弱性を悪用する可能性があります。悪用が成功した場合、攻撃者は基盤となるオペレーティングシステム上の任意のファイルを作成または上書きできるようになります。このファイルは、後にroot権限への昇格に利用される可能性があります。」

シスコによると、同社の製品セキュリティインシデント対応チーム（PSIRT）は今月初めにCVE-2026-20262の悪用事例を把握しており、顧客に対しシステムのパッチ適用を「強く」推奨している。

同社はこれらの攻撃に関する詳細を明らかにしなかったものの、侵害の兆候（IOC）を公開し、管理者にSD-WANのvmanage-server、vmanage-appserver、およびserviceproxy-accessのログを確認し、index.jspおよび.warファイルのアップロード試行がないかチェックするよう警告した。

2月、シスコはCatalyst SD-WAN Managerの別の情報漏洩のセキュリティ脆弱性（CVE-2026-20133）に対してパッチを適用した。 これは4月下旬に「現在悪用中」と報告され、その2週間後には、実環境で悪用されていたさらに2つの脆弱性（CVE-2026-20128およびCVE-2026-20122）について警告を発した。

先月、同社はまた、パッチが適用されていないデバイス上で管理者権限を取得するためにゼロデイとして積極的に悪用されている、最高深刻度のCatalyst SD-WAN Controllerの認証バイパス脆弱性（CVE-2026-20182）を特定した。

さらに最近では、6月上旬、シスコは、攻撃で悪用され、攻撃者がroot権限を取得することを可能にする、パッチ未適用のCatalyst SD-WAN Managerのゼロデイ脆弱性（CVE-2026-20245）について警告しました。

過去数年間で、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、実環境で悪用されているシスコの脆弱性を91件特定しており、そのうち5件はCisco Catalyst SD-WAN Managerに関するもので、さらに6件はランサムウェア攻撃で悪用されていた。