Cisco Catalyst SD-WAN 認証バイパスによる管理者権限奪取（未認証・実際に悪用・KEV）

情報取得日: 2026/05/14／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-20182
製品	Cisco / Catalyst SD-WAN Controller / Manager / Validator
CVSS	10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
種別 (CWE)	CWE-287 Improper Authentication
登録／公開日	2026/05/14
KEV 期限	2026/05/17 まで（米国連邦機関向け目安）
推奨対応	CISA緊急指令26-03とCisco SD-WAN向けHunt&Hardeningガイダンスに従い露出評価と緩和。緩和不能なら利用停止。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-20182

概要

Cisco Catalyst SD-WAN のコントローラ/マネージャ（旧 vSmart/vManage/vBond）に、ピア認証機構の不備（CWE-287）による認証バイパスがある。未認証の遠隔攻撃者が細工したリクエストで管理者権限を取得し、ネットワーク構成を操作しうる（CVSS 10.0、スコープ変更）。Cisco はセキュリティアドバイザリと修正版（20.9.9.1 / 20.12.5.4 / 20.12.6.2 / 20.15.4.4 / 20.15.5.2 / 20.18.2.2 / 26.1.1.1 等）を公開。CISA は 2026-05-14 に KEV へ追加、緊急指令26-03の対象。 **2026年8月3日の再確認**: CISA KEV カタログ（2026.07.29 版）で本件の収載が継続していることを確認した。是正期限は2026年5月17日で既に経過している。要求アクションは緊急指令26-03（Cisco SD-WAN システムの脆弱性への対処）とその補足指令（ハンティングおよびハードニング指針）に従うことで、内容に変更はない。ランサムウェア利用は Unknown（確認されていない）のままである。CVSS も 10.0 のまま変わっていない。**期限経過後も収載が続いているということは、悪用が終息したという判断は出ていない**ということである。未対応の装置が残っているなら、修正版への更新に加えて、緊急指令26-03 の補足指針に沿った侵害有無の確認（設定変更の差分・想定外の管理者アカウント・外部への通信）まで行うこと。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: ベンダーFW更新参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	ベンダーFW更新	Cisco Catalyst SD-WAN の仮想アプライアンス(vManage/vSmart/vBond)をAWS上で運用している場合、対応する修正版へアップグレード。管理プレーンをパブリックに晒さない。 Ciscoアプライアンスのファームウェア/ソフト更新で対応。AWS固有パッチではない。参照リンク
GCP	ベンダーFW更新	GCP上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。 Ciscoソフトウェア更新で対応。参照リンク
Azure	ベンダーFW更新	Azure上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。 Ciscoソフトウェア更新で対応。参照リンク
Linux	ベンダーFW更新	SD-WAN は Cisco 製アプライアンス/仮想ソフトのため、ディストリ側パッチではなく Cisco の修正版へ更新して対応する。汎用Linuxパッケージではない。参照リンク

解決の方向性（パッチ／回避策／代替）

Catalyst SD-WAN の Controller/Manager/Validator を、自環境のトレインに対応する修正版へ更新する。管理プレーン(vManage等)をインターネットに直接公開せず、管理アクセスを許可元IP/踏み台に限定する。侵害有無をCiscoのHunt&Hardeningガイダンスに従って点検する。

よくある質問（CVE-2026-20182）

CVE-2026-20182（Catalyst SD-WAN Controller / Manager / Validator）の影響は？

Critical（CVSS 10.0）に分類されるCisco Catalyst SD-WAN Controller / Manager / Validatorの脆弱性です。Cisco Catalyst SD-WAN のコントローラ/マネージャ（旧 vSmart/vManage/vBond）に、ピア認証機構の不備（CWE-287）による認証バイパスがある。未認証の遠隔攻撃者が細工したリクエストで管理者権限を取得し、ネットワーク構成を操作しうる（CVSS 10.0、スコープ変更）。Cisco はセキュリティアドバイザリと修正版（20.9.9.1 / 20.12.5.4 / 20.12.6.2 / 20.15.4.4 / 20.15.5.2 / 20.18.2.2 / 26.1.1.1 等）を公開。CISA は 2026-05-14 に KEV へ追加、緊急指令26-03の対象。 **2026年8月3日の再確認**: CISA KEV カタログ（2026.07.29 版）で本件の収載が継続していることを確認した。是正期限は2026年5月17日で既に経過している。要求アクションは緊急指令26-03（Cisco SD-WAN システムの脆弱性への対処）とその補足指令（ハンティングおよびハードニング指針）に従うことで、内容に変更はない。ランサムウェア利用は Unknown（確認されていない）のままである。CVSS も 10.0 のまま変わっていない。**期限経過後も収載が続いているということは、悪用が終息したという判断は出ていない**ということである。未対応の装置が残っているなら、修正版への更新に加えて、緊急指令26-03 の補足指針に沿った侵害有無の確認（設定変更の差分・想定外の管理者アカウント・外部への通信）まで行うこと。

CVE-2026-20182 の対応方法・回避策は？

自分の環境が CVE-2026-20182 の影響を受けるか確認するには？

Cisco Catalyst SD-WAN Controller / Manager / Validator を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20182）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-20182 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/17 です。推奨される対応: CISA緊急指令26-03とCisco SD-WAN向けHunt&Hardeningガイダンスに従い露出評価と緩和。緩和不能なら利用停止。