Cisco Catalyst SD-WAN Manager の Web UI で認証済みユーザーが任意ファイルを上書き（KEV・CVSS 6.5）

情報取得日: 2026/06/15・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-20262
製品	Cisco / Catalyst SD-WAN Manager（旧 vManage）20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2 より前
CVSS	6.5（Medium） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS は当サイトの掲載基準（7.0以上）を下回りますが、CISA KEV に収載され実際の悪用が確認されているため掲載しています。
種別 (CWE)	CWE-22 パス・トラバーサル
登録／公開日	2026/06/15
KEV 期限	2026/06/29 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-20262

概要

Cisco Catalyst SD-WAN Manager（旧 vManage）の Web UI で、ファイルアップロード時の入力検証が不十分なため、**書き込み権限を持つ認証済みの攻撃者が、API エンドポイントへの細工した HTTP リクエストでファイルシステム上の任意のファイルを作成・上書きできる**（Cisco のアドバイザリ cisco-sa-sdwan-arbfw-c2rZvQ、2026年6月15日公開）。 **悪用が確認されている。** Cisco PSIRT は 2026年6月に限定的な悪用を把握したと記している。CISA は 2026年6月15日に KEV へ収載し、是正期限を 2026年6月29日とした（期限は過ぎている）。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は Cisco の評価で 6.5 Medium（AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N）。点数としては掲載基準の 7.0 に届かないが、CISA KEV 収載（実際の悪用確認済み）のため掲載している。NVD の vulnStatus は Analyzed で、CWE は CWE-22。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure は同じ対応区分です: パッチあり（アプリ更新）
Linux のみ異なります: ベンダーFW更新

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	AWS 上で自社運用している Catalyst SD-WAN Manager を修正版（20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2）以上へ更新する。CVE-2026-76504 もあわせて塞ぐなら、その修正版（20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1）を目標にする。 AWS 側の修正ではなくアプライアンスの更新が対処。回避策は無い（Cisco のアドバイザリ）。CISA KEV 収載済み（是正期限 2026-06-29）。参照リンク
GCP	パッチあり（アプリ更新）	GCP 上で自社運用している Catalyst SD-WAN Manager があれば修正版以上へ更新する（目標は CVE-2026-76504 の修正版）。 GCP 側にパッチは無い。アプライアンスの更新が必要。参照リンク
Azure	パッチあり（アプリ更新）	Azure 上で自社運用している Catalyst SD-WAN Manager を修正版以上へ更新する（目標は CVE-2026-76504 の修正版）。書き込み権限のある管理アカウントを棚卸しする。 Azure 側の修正ではなくアプライアンスの更新が対処。Cisco SD-WAN Cloud-Pro / Cisco 管理の展開も影響を受けるとアドバイザリにあり、その更新状況は Cisco に要確認。参照リンク
Linux	ベンダーFW更新	オンプレミスの SD-WAN Manager（物理/仮想）を Cisco の修正版へ更新する。汎用 Linux ディストリのパッケージではなく Cisco のアプライアンス。痕跡は vmanage-server.log の不審な WAR アップロード、vmanage-appserver.log のデプロイ記録、serviceproxy-access.log の POST で確認する。参照リンク

解決の方向性（パッチ／回避策／代替）

**修正版へ上げる。回避策は無い。** Cisco のアドバイザリは「この脆弱性に対処する回避策は無い」としている。修正版は 20.9 系は 20.9.9.2、20.12 系は 20.12.7.2、20.15.4 系は 20.15.4.5、20.15.5 系は 20.15.5.3、20.18 系は 20.18.3.1、26.1 系は 26.1.1.2。 **あわせて CVE-2026-76504 の修正版まで上げる。** 同じ SD-WAN Manager には 2026年9月30日に未認証の認証バイパス（CVE-2026-76504・KEV・CVSS 9.8）が公開されており、その修正版（20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1）はこの CVE の修正版より新しい。今から更新するなら CVE-2026-76504 の修正版を目標にすれば両方を塞げる。 **侵害の有無を確認する。** Cisco は点検先として、`vmanage-server.log` で不審な WAR ファイルのアップロード、`vmanage-appserver.log` でデプロイの記録、`serviceproxy-access.log` で不審なエンドポイントへの POST を挙げている。書き込み権限のあるアカウントが悪用の前提なので、管理アカウントの棚卸しと不要アカウントの削除も行う。 **Cisco SD-WAN Cloud-Pro と Cisco が管理する展開も影響を受ける**とアドバイザリにある。クラウド版の更新状況は Cisco に確認する。 **完了条件**は、（1）全ての SD-WAN Manager が修正版以上であること、（2）上記ログの点検と管理アカウントの棚卸しを終えていること、の2点である。

よくある質問（CVE-2026-20262）

CVE-2026-20262（Catalyst SD-WAN Manager）の影響は？

Medium（CVSS 6.5）に分類されるCisco Catalyst SD-WAN Manager（旧 vManage）20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2 より前の脆弱性です。Cisco Catalyst SD-WAN Manager（旧 vManage）の Web UI で、ファイルアップロード時の入力検証が不十分なため、**書き込み権限を持つ認証済みの攻撃者が、API エンドポイントへの細工した HTTP リクエストでファイルシステム上の任意のファイルを作成・上書きできる**（Cisco のアドバイザリ cisco-sa-sdwan-arbfw-c2rZvQ、2026年6月15日公開）。 **悪用が確認されている。** Cisco PSIRT は 2026年6月に限定的な悪用を把握したと記している。CISA は 2026年6月15日に KEV へ収載し、是正期限を 2026年6月29日とした（期限は過ぎている）。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は Cisco の評価で 6.5 Medium（AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N）。点数としては掲載基準の 7.0 に届かないが、CISA KEV 収載（実際の悪用確認済み）のため掲載している。NVD の vulnStatus は Analyzed で、CWE は CWE-22。

CVE-2026-20262 の対応方法・回避策は？

自分の環境が CVE-2026-20262 の影響を受けるか確認するには？

Cisco Catalyst SD-WAN Manager（旧 vManage）20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2 より前を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20262）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-20262 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/29 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。