Catalyst SD-WANの脆弱性CVE-2026-20245の悪用
Ciscoのアドバイザリによると、Catalyst SD-WANのController・Manager・ValidatorのCLIの脆弱性CVE-2026-20245は、認証されたローカルの攻撃者がroot権限で任意のコマンドを実行できる可能性があり、悪用されている［7］。Ciscoが2026年7月1日に更新した対応手順書によると、全リリーストレインで修正がリリースされており、回避策は無い［8］。
脆弱性の内容
Ciscoの6月4日のアドバイザリでは、原因はユーザ指定の入力の検証が不十分なことにある［7］。悪用にはnetadmin権限が要り、その権限を得るには有効なログイン情報か、CVE-2026-20182〔注1〕またはCVE-2026-20127の悪用が必要になる［7］。Ciscoは、これ以外の方法による悪用の成功事例を確認していないと説明した［7］。Ciscoはこのアドバイザリを英語でも公開した［1］。
Ciscoが登録したCVEレコードによると、攻撃者は細工したファイルを影響を受けるシステムにアップロードして、この脆弱性を悪用しうる［2］。成功すれば、コマンドインジェクション攻撃を行い、rootユーザーとして権限を昇格しうる［2］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-20245 | ［2］ |
| アドバイザリID | cisco-sa-sdwan-privesc-4uxFrdzx | ［7］ |
| CiscoのバグID | CSCwu18563 | ［7］ |
| CVSS v3.1（Cisco） | 7.8（HIGH）、CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | ［2］ |
| CWE | CWE-116（Improper Encoding or Escaping of Output） | ［2］ |
| SSVC（CISA ADP） | Exploitation: active、Automatable: no、Technical Impact: total | ［2］ |
| 悪用されたときの影響 | root権限での任意のコマンドの実行 | ［7］ |
| 悪用の状況 | Cisco PSIRTが2026年6月に悪用を把握 | ［7］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 不正なピア接続を新たに作り、SD-WAN ManagerからSD-WANファブリックの設定を持ち出した | ［10］ |
| 2026年 | - | CVE-2026-20245を悪用し、root権限を持つアカウントを作った | ［10］ |
| 2026年 | CISA | CVE-2026-20182をKEVカタログに追加した | ［5］ |
| 2026年 | Cisco | アドバイザリの初版（暫定）を公開した | ［7］ |
| 2026年 | カナダのサイバーセキュリティセンター | AV26-551を出した | ［9］ |
| 2026年 | Cisco | 改訂1.4で、影響を受ける製品と修正済みリリースを更新した | ［7］ |
| 2026年 | CISA | CVE-2026-20245をKEVカタログに追加し、対応期限を2026年6月23日とした | ［5］ |
| 2026年 | Cisco | 改訂1.5で、26.1.1.2の修正の利用可能状況を修正済みリリースの表に加えた | ［7］ |
| 2026年 | Cisco | 改訂1.7で、修正済みリリースの表の20.15.4.5と20.15.5.3を更新した | ［7］ |
| 2026年 | Cisco | 改訂1.8で20.9.9.2と20.12.7.2を更新し、アドバイザリを暫定から最終に変えた | ［7］ |
| 2026年 | Mandiant | 悪用の事例を公表した | ［10］ |
| 2026年 | Cisco | 改訂1.9で、Live Protectシールドの利用可能状況を概要に加えた | ［7］ |
| 2026年 | Cisco | 改訂1.10で、修正済みリリースの表に20.18.2.2以前を加えた | ［7］ |
対象の製品と版
Ciscoによると、この脆弱性は機器の設定に関係なく、Controller（旧vSmart）・Manager（旧vManage）・Validator（旧vBond）に影響する〔注2〕［7］。オンプレミス展開、Cisco SD-WAN Cloud-Pro、Cisco SD-WAN Cloud（Cisco Managed）、政府/自治体向けCisco SD-WAN（FedRAMP）を含む、すべての展開タイプが対象になる［7］。インターネットに公開されているManagerと、インターネットに公開されたポートがあるManagerは、侵害のリスクにさらされている［7］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Controller・Manager・Validator | 20.9.9.1以前 | 20.9.9.2 | ［7］ |
| Controller・Manager・Validator | 20.12.7.1以前 | 20.12.7.2 | ［7］ |
| Controller・Manager・Validator | 20.15.4.4以前 | 20.15.4.5 | ［7］ |
| Controller・Manager・Validator | 20.15.5.2以前 | 20.15.5.3 | ［7］ |
| Controller・Manager・Validator | 20.18.2.2以前、20.18.3 | 20.18.3.1 | ［7］ |
| Controller・Manager・Validator | 26.1.1.1以前 | 26.1.1.2 | ［7］ |
| Catalyst SD-WAN（対応手順書の表） | 20.16、20.17、20.18.x | 20.18.3.1 | ［8］ |
Ciscoの対応手順書では、Ciscoがホストするクラスタ（CDCS）の利用者には20.15.507も修正版になる［8］。NVDのCPEの構成は、20.9系の影響範囲を「20.9.9.1未満」で区切った［3］。
悪用の状況
Ciscoは、このバグの悪用によってエッジデバイスに設定変更がプッシュされた事例を、限定的ながら確認したと説明した［7］。CISAはKEVカタログで、この脆弱性をCisco Catalyst SD-WAN Manager（旧SD-WAN vManage）の出力の不適切なエンコード・エスケープの脆弱性として載せた［5］。ランサムウェアの攻撃での使用の欄は「Unknown」である［5］。
被害組織での侵入の経過
Mandiantの6月24日の報告によると、Mandiantは2026年の初めに、サービスプロバイダーのSD-WAN基盤を狙う脅威アクターを特定した［10］。アクターは初期アクセスを得た後にCVE-2026-20245を悪用し、侵害した管理アカウントからrootの権限に昇格した［10］。CVE-2026-20245は、MandiantがCiscoに報告した脆弱性である［10］。
被害組織のSD-WAN Managerには、2025年後半から2026年1月にかけて複数の不正なピアリング接続があった［10］。Mandiantは、当時は未公表で修正版も無かったCVE-2026-20127かCVE-2026-20182の悪用で、これらの接続が生じた可能性があるとした［10］。
3月からの不正なピアリング接続は、CVE-2026-20127の影響を受けない版の機器で起きた［10］。Ciscoは、この接続にCVE-2026-20182も使われていないと確認した［10］。Mandiantは、接続には代わりに、同じ機器の過去の侵害で盗まれた証明書が使われた可能性があるとした［10］。
Mandiantの報告では、アクターはvmanage-adminアカウントでSSH認証し、既定のadminアカウントのパスワードを変えてWeb管理画面に入った後、パスワードを元に戻した［10］。CVE-2026-20245の悪用では、adminアカウントのSSHセッションから、テナント一覧のアップロードのコマンドでevil_tenant.csvというファイルを送り込み、trootという名前のアカウントを作った［10］。アクターは作ったファイルを削除して変えた設定を元に戻し、痕跡が消えたかを確かめるスクリプトを実行した［10］。
侵害の痕跡
Ciscoは、/var/log/のscripts.logに、表3の上の3つのスクリプトのエントリが無いかを調べるよう推奨した［7］。これらは正規のコマンドで、ログでは正規の使用か悪意のある使用かが区別されないとした［7］。Mandiantは、不正な機器として接続したIPアドレス8件と、evil_tenant.csvの残骸のハッシュを示した［10］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| scripts.logのエントリ | vconfd_script_upload_tenant_list.sh | Cisco | ［7］ |
| scripts.logのエントリ | vconfd_script_upload_vsmart_serial_numbers.sh | Cisco | ［7］ |
| scripts.logのエントリ | vconfd_script_upload_chassis_number_file.sh | Cisco | ［7］ |
| ファイル | /home/admin/evil_tenant.csv | Mandiant | ［10］ |
| IPアドレス（CVE-2026-20245の悪用にも使用） | 126.51.108[.]152 | Mandiant | ［10］ |
The Hacker Newsは6月6日の記事で、CVE-2026-20245は2026年に悪用が確認された7件目のCisco SD-WANの脆弱性だと報じた［11］。先の6件はCVE-2026-20182、CVE-2026-20127、CVE-2026-20122、CVE-2026-20128、CVE-2026-20133、CVE-2022-20775だとした［11］。記事の掲載時、CVE-2026-20245には修正版も緩和策も無かった［11］。
修正と回避策
Ciscoはアドバイザリの概要で、5月14日に公開したCatalyst SD-WANのセキュリティアドバイザリに記載の修正済みソフトウェアへのアップグレードと、エッジデバイスの設定の検証を推奨した［7］。
- アップグレードの前に、SD-WAN環境の各制御コンポーネントからrequest admin-techコマンドを発行し、侵害の兆候の情報を保存する［7］
- その後、できるだけ早く修正済みリリースにアップグレードする［7］
- ログに侵害の指標があり、侵害が確認された場合は、ソフトウェアアップデートの適用だけでは脆弱性が解決せず、TACの修復手順に従う［7］
Ciscoの7月15日の改訂1.9では、CVE-2026-20245に一時的なセキュリティカバレッジを提供するLive Protectシールドが加わった［7］。Ciscoは、シールドは一時的な部分的な保護しか提供せず、脆弱性を修正する唯一の方法は最初の修正済みリリースへのアップグレードだと説明した［7］。
Ciscoは対応手順書で、6月4日と6月15日のPSIRTのアドバイザリ（CVE-2026-20245とCVE-2026-20262）について、侵害の兆候の確認と対応の手順を説明した［8］。全制御コンポーネントのadmin-techを集めてTACのケースを開き、TACの評価を受けることを求めた［8］。両方の脆弱性で、認証されていない遠隔の攻撃者が必要な認証情報を得る既知の経路は、CVE-2026-20182かCVE-2026-20127の悪用である［8］。両方の修正版に更新済みで、過去の事象のadmin-techに侵害の兆候が無ければ、その機器では既知の認証なしの経路は緩和されるが、有効な認証情報を持つ攻撃者への露出は残る［8］。
Ciscoが手順書で修復の後の検討事項に挙げたのは、ローカルユーザーアカウントの確認、認証情報の変更、機器の設定内のシークレット（SNMPのコミュニティ名、TACACSの鍵、VPNの事前共有鍵と証明書、信頼するSSH鍵など）の変更、設定テンプレートの確認である［8］。エッジデバイスの侵害が疑われる場合の工場出荷時の状態への初期化と再登録は、顧客が判断する対応だとした［8］。
Mandiantは、ローカルのIOCの掃引、TACへの相談、修正版への更新、Ciscoのハードニングの指針の適用を勧めた［10］。
未公表の事項
注
出典
当事者
- ［1］Cisco Systems, Inc.『cisco-sa-sdwan-privesc-4uxFrdzx』（2026年6月4日公開、保存記録のみ） 保存記録
- ［7］Cisco Systems, Inc.『Cisco Catalyst SD-WAN Controller、Catalyst SD-WAN Manager、および Catalyst SD-WAN Validator で認証された特権が昇格される脆弱性』（2026年6月4日公開、2026年7月21日更新）
- ［8］Cisco Systems, Inc.『Remediate Catalyst SD-WAN Security Advisory - June 2026』（2026年7月1日公開）
公的機関
- ［2］CVE Program『CVE-2026-20245』（2026年6月4日公開、2026年7月21日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-20245 Detail』（2026年6月4日公開、2026年7月23日更新）
- ［4］National Institute of Standards and Technology『CVE-2026-20245』（2026年6月4日公開、2026年7月23日更新）
- ［5］Cybersecurity and Infrastructure Security Agency『Known Exploited Vulnerabilities Catalog』（2026年6月9日公開）
- ［9］Canadian Centre for Cyber Security『Cisco security advisory (AV26-551) - Update 1』（2026年6月5日公開、2026年6月9日更新）
調査・観測
- ［10］Google LLC『Zero-Day Exploitation of Vulnerability (CVE-2026-20245) in Cisco Catalyst SD-WAN Manager』（2026年6月24日公開）
報道機関
- ［11］The Hacker News『Cisco Catalyst SD-WAN Manager CVE-2026-20245 Flaw Actively Exploited』（2026年6月6日公開）
背景資料
- ［6］Cisco Systems, Inc.『Ongoing exploitation of Cisco Catalyst SD-WAN vulnerabilities』（2026年5月14日公開、2026年5月27日更新）
更新記録
- 2026年6月10日：公開した。
- 2026年6月11日：Ciscoのアドバイザリの改訂1.7（出典7）で更新された修正済みリリースを「時系列」「対象の製品と版」に加えた。
- 2026年6月12日：Ciscoのアドバイザリの改訂1.8（出典7）で更新された20.9系と20.12系の修正済みリリースと最終版への変更を「時系列」「対象の製品と版」に加えた。
- 2026年6月24日：Mandiantの6月24日の報告（出典10）を加え、「悪用の状況」に事例と侵害の痕跡を、「時系列」に悪用の経過を加えた。
- 2026年7月1日：Ciscoの対応手順書（出典8）を加え、リードの最後の文と「修正と回避策」「対象の製品と版」を改めた。
- 2026年7月15日：Ciscoのアドバイザリの改訂1.9（出典7）で加わったLive Protectシールドを「修正と回避策」「時系列」に加えた。
- 2026年7月21日：Ciscoのアドバイザリの改訂1.10（出典7）とCVEレコードの7月21日の更新（出典2）を加え、20.18.2.2以前を「対象の製品と版」「時系列」に加えた。
- 2026年7月23日：NVDの7月23日の更新（出典3、4）を加え、CPEの構成の範囲を「対象の製品と版」に、最初の説明文の対象を「注」に加えた。