Cisco Catalyst SD-WAN の認証回避で管理者権限を奪取（悪用確認済み）

Critical（CVSS 10.0）に分類されるCisco Catalyst SD-WAN Controller / Manager / Validatorの脆弱性です。Cisco Catalyst SD-WAN Controller（旧 vSmart）、Catalyst SD-WAN Manager（旧 vManage）、Catalyst SD-WAN Validator（旧 vBond）のピアリング認証が正しく機能しておらず、未認証のリモート攻撃者が細工したリクエストを送ることで認証を回避し、管理者権限を得られる。Cisco の説明では、攻撃者は内部用の高権限（非 root）アカウントとしてコントローラにログインでき、そのアカウントで NETCONF にアクセスして SD-WAN ファブリック全体のネットワーク設定を操作できる。単一機器の侵害ではなくファブリックの制御面を握られる話であり、影響は拠点間の全経路に及ぶ。影響範囲は NVD の CPE で、三製品いずれも 20.9.8.2 未満、20.11 以上 20.12.5.3 未満、20.13 以上 20.15.4.2 未満、20.16 以上 20.18.2.1 未満とされ、加えて 20.12.6 が個別に影響版として挙げられている。CVSS は NVD（Primary）と Cisco（CNA）の双方が CVSS 3.1 で 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）と評価しており、評価元による食い違いは無い。CISA KEV には 2026-02-25 に収載され、是正期限は 2026-02-27 と2日後で、緊急指令 ED 26-03 とハント・堅牢化の補足指示が併せて出ている。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

判定は三製品それぞれの版で行う。Manager の GUI や CLI で show version 相当を取り、20.9 系は 20.9.8.2 以上、20.12 系は 20.12.5.3 以上、20.15 系は 20.15.4.2 以上、20.18 系は 20.18.2.1 以上かを確認する。ここで注意が要るのは 20.12.6 が影響版として個別に挙がっている点で、20.12.5.3 より新しい版だから安全という単純な比較で判断すると取り違える。Manager だけ更新して Controller と Validator を残す抜けも起きやすい。ピアリング認証の欠陥なので、ファブリックの三役すべてを数える。冗長構成の Controller と Validator、検証用の別ファブリック、クラウド上のコントローラ群、統合途中で残った旧 vManage が漏れやすい。すぐ更新できない場合の緩和は、コントローラ群の管理面とピアリング用のポートへの到達を絞ることである。インターネットからコントローラへ直接届く構成になっているなら真っ先に閉じる。ただしファブリック内のエッジ機器からは到達できる必要があるため、完全に閉じるのは難しく、更新の先延ばしはできない。KEV 収載済みで実際に悪用されているため、更新だけでは終わらない。攻撃者が管理者権限で NETCONF を使えた前提で、ファブリック全体の設定を既知の正しい状態と突き合わせ、想定外のポリシー、ルーティング、トンネル、ユーザーアカウントの追加が無いかを確認する。管理者と内部アカウントの資格情報、証明書と鍵、API トークンを再発行し、CISA の ED 26-03 とハント・堅牢化の補足指示に沿って痕跡調査を行う。完了条件は、Controller と Manager と Validator の全台が修正版以上であること、設定の突き合わせと痕跡調査が完了していること、資格情報と証明書の再発行が済んでいることの3点。是正期限 2026-02-27 は経過しており、未更新機が残っていれば期限超過として最優先で扱う。

Cisco Catalyst SD-WAN Controller / Manager / Validator を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20127）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/27 です。推奨される対応: CISA の緊急指令 ED 26-03 と「Cisco SD-WAN 機器のハント・堅牢化ガイダンス」に沿って、Cisco SD-WAN 機器の露出状況を評価し対策を行うこと。クラウドサービスについては該当する BOD 22-01 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。