脆弱性対応ウォッチ重大・クリティカル脆弱性のクラウド別対応まとめ
最新更新履歴CriticalHighAWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認
CVE-2026-20182

Cisco Catalyst SD-WAN 認証バイパスによる管理者権限奪取（未認証・実際に悪用・KEV）

情報取得日: 2026/05/14／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです

CVE IDCVE-2026-20182
製品Cisco / Catalyst SD-WAN Controller / Manager / Validator
CVSS10.0（Critical）
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
種別 (CWE)CWE-287 Improper Authentication
登録／公開日2026/05/14
KEV 期限2026/05/17 まで（米国連邦機関向け目安）
推奨対応CISA緊急指令26-03とCisco SD-WAN向けHunt&Hardeningガイダンスに従い露出評価と緩和。緩和不能なら利用停止。
出典https://nvd.nist.gov/vuln/detail/CVE-2026-20182

概要

Cisco Catalyst SD-WAN のコントローラ/マネージャ（旧 vSmart/vManage/vBond）に、ピア認証機構の不備（CWE-287）による認証バイパスがある。未認証の遠隔攻撃者が細工したリクエストで管理者権限を取得し、ネットワーク構成を操作しうる（CVSS 10.0、スコープ変更）。Cisco はセキュリティアドバイザリと修正版（20.9.9.1 / 20.12.5.4 / 20.12.6.2 / 20.15.4.4 / 20.15.5.2 / 20.18.2.2 / 26.1.1.1 等）を公開。CISA は 2026-05-14 に KEV へ追加、緊急指令26-03の対象。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

環境対応状況対応方法・備考
AWS (ECS/EC2) ベンダーFW更新
Cisco Catalyst SD-WAN の仮想アプライアンス(vManage/vSmart/vBond)をAWS上で運用している場合、対応する修正版へアップグレード。管理プレーンをパブリックに晒さない。
Ciscoアプライアンスのファームウェア/ソフト更新で対応。AWS固有パッチではない。
参照リンク
GCP ベンダーFW更新
GCP上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。
Ciscoソフトウェア更新で対応。
参照リンク
Azure ベンダーFW更新
Azure上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。
Ciscoソフトウェア更新で対応。
参照リンク
Linux ベンダーFW更新
SD-WAN は Cisco 製アプライアンス/仮想ソフトのため、ディストリ側パッチではなく Cisco の修正版へ更新して対応する。
汎用Linuxパッケージではない。
参照リンク

CVE-2026-20182 の対応手順（環境別）

確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。

  1. AWS 環境での対応
    Cisco Catalyst SD-WAN の仮想アプライアンス(vManage/vSmart/vBond)をAWS上で運用している場合、対応する修正版へアップグレード。管理プレーンをパブリックに晒さない。（Ciscoアプライアンスのファームウェア/ソフト更新で対応。AWS固有パッチではない。） 参照
  2. GCP 環境での対応
    GCP上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。（Ciscoソフトウェア更新で対応。） 参照
  3. Azure 環境での対応
    Azure上でCatalyst SD-WAN仮想アプライアンスを運用している場合は修正版へアップグレードし管理アクセスを制限。（Ciscoソフトウェア更新で対応。） 参照
  4. Linux 環境での対応
    SD-WAN は Cisco 製アプライアンス/仮想ソフトのため、ディストリ側パッチではなく Cisco の修正版へ更新して対応する。（汎用Linuxパッケージではない。） 参照

解決の方向性（パッチ／回避策／代替）

Catalyst SD-WAN の Controller/Manager/Validator を、自環境のトレインに対応する修正版へ更新する。管理プレーン(vManage等)をインターネットに直接公開せず、管理アクセスを許可元IP/踏み台に限定する。侵害有無をCiscoのHunt&Hardeningガイダンスに従って点検する。

よくある質問（CVE-2026-20182）

CVE-2026-20182（Catalyst SD-WAN Controller / Manager / Validator）の影響は？

Critical（CVSS 10.0）に分類されるCisco Catalyst SD-WAN Controller / Manager / Validatorの脆弱性です。Cisco Catalyst SD-WAN のコントローラ/マネージャ（旧 vSmart/vManage/vBond）に、ピア認証機構の不備（CWE-287）による認証バイパスがある。未認証の遠隔攻撃者が細工したリクエストで管理者権限を取得し、ネットワーク構成を操作しうる（CVSS 10.0、スコープ変更）。Cisco はセキュリティアドバイザリと修正版（20.9.9.1 / 20.12.5.4 / 20.12.6.2 / 20.15.4.4 / 20.15.5.2 / 20.18.2.2 / 26.1.1.1 等）を公開。CISA は 2026-05-14 に KEV へ追加、緊急指令26-03の対象。

CVE-2026-20182 の対応方法・回避策は？

Catalyst SD-WAN の Controller/Manager/Validator を、自環境のトレインに対応する修正版へ更新する。管理プレーン(vManage等)をインターネットに直接公開せず、管理アクセスを許可元IP/踏み台に限定する。侵害有無をCiscoのHunt&Hardeningガイダンスに従って点検する。

自分の環境が CVE-2026-20182 の影響を受けるか確認するには？

Cisco Catalyst SD-WAN Controller / Manager / Validator を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20182）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-20182 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/17 です。推奨される対応: CISA緊急指令26-03とCisco SD-WAN向けHunt&Hardeningガイダンスに従い露出評価と緩和。緩和不能なら利用停止。

参考情報（出典）

本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。

ベンダー公式・PSIRT アドバイザリ
CISA KEV（悪用確認・対応期限・ランサム利用の出典）
NVD（CVE 基本情報・CVSS スコアの出典）
免責: 本ページは CISA KEV・NVD・各ベンダー公式アドバイザリ等の公開情報をもとにした非公式まとめです。修正バージョンや対応可否は変更される場合があります。実際の対応は必ず 出典元および各ベンダー公式情報・自環境で確認してください。

« 一覧に戻る