Podatność w systemach Cisco SD-WAN pozwala ominąć uwierzytelnianie i przejąć kontrolę nad konfiguracją całej sieci. Według CISA była wykorzystywana jako zero-day, a agencja dała dwa dni na reakcję. Poniżej mechanizm ataku i lista działań.
Podatność CVE-2026-20127 w systemach Cisco SD-WAN otrzymała najwyższą możliwą ocenę zagrożenia i była wykorzystywana w atakach, zanim producent opublikował łatkę. Z tego tekstu czytelnik dowie się, które produkty i wersje są zagrożone, jak krok po kroku przebiegał atak, co grozi firmie używającej tych systemów i jakie działania trzeba podjąć w pierwszej kolejności.
Element | Szczegóły |
|---|---|
Identyfikator | CVE-2026-20127, w bazie ENISA numer EUVD-2026-8675 |
Produkty | Cisco Catalyst SD-WAN Manager (dawniej vManage), Controller (dawniej vSmart) i Validator (dawniej vBond) |
Typ podatności | Obejście uwierzytelniania, kategoria CWE-287, według Cisco i bazy NVD |
Ocena CVSS 3.1 | 10.0 na 10, wektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, identycznie u Cisco i w NVD |
Poprawione wersje | 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 i 20.18.2.1, według biuletynu Cisco |
Wpis do katalogu CISA KEV | 25 lutego 2026, termin wykonania działań 27 lutego 2026 |
Eksploatacja | Potwierdzona; według Cisco ograniczona, według CISA w chwili ataków luka była nieznana (zero-day) |
Powiązanie z ransomware | Według katalogu KEV niepotwierdzone (status Unknown) |
Problem obejmuje wdrożenia lokalne oraz chmury hostowane przez Cisco, w tym środowisko rządowe FedRAMP, i występuje niezależnie od konfiguracji urządzenia. Podatność zgłosiło australijskie centrum cyberbezpieczeństwa Australian Signals Directorate ACSC, a Cisco udostępniło reguły detekcji Snort o numerach 65938 i 65958 (według biuletynu producenta).
Sieć SD-WAN łączy oddziały firmy w jedną całość, a systemy Manager, Controller i Validator pełnią w niej rolę centrali wydającej urządzeniom przepustki. Mechanizm peeringu to kontrola tożsamości przy wejściu: nowe urządzenie musi udowodnić, że ma prawo dołączyć do sieci.
Podatność sprawia, że ta kontrola przestaje działać. Według dokumentacji Cisco napastnik z dowolnego miejsca w sieci wysyła spreparowane żądania i bez żadnych poświadczeń zostaje zalogowany na wewnętrzne konto o wysokich uprawnieniach. To nie jest konto root, ale daje dostęp do interfejsu NETCONF, czyli pulpitu, z którego zmienia się konfigurację całej sieci SD-WAN (według bazy NVD).
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dołączenie urządzenia do sieci | Wymagane przejście uwierzytelniania | Kontrola zostaje ominięta |
Dostęp do kont systemowych | Tylko dla znanych, zalogowanych użytkowników | Zdalne logowanie bez poświadczeń na konto o wysokich uprawnieniach |
Zmiana konfiguracji sieci | Zarezerwowana dla administratora firmy | Dostępna dla napastnika przez NETCONF |
Kto kontroluje sieć | Firma | Osoba z zewnątrz |
Opis pochodzi z wytycznych CISA i biuletynu Cisco. Scenariusz nie jest teoretyczny: agencja CISA ustaliła, że złośliwa aktywność z użyciem tej podatności zaczęła się prawdopodobnie już w 2023 roku.
Etap | Działanie napastnika | Skutek |
|---|---|---|
1 | Podłączenie własnego urządzenia tak, aby wyglądało jak nowy, tymczasowy i legalny komponent SD-WAN (według CISA) | Oszukanie płaszczyzny zarządzania |
2 | Wysłanie spreparowanych żądań do podatnego systemu (według Cisco) | Ominięcie uwierzytelniania |
3 | Zalogowanie na wewnętrzne konto o wysokich uprawnieniach, niebędące rootem | Dostęp administracyjny |
4 | Zmiany konfiguracji sieci przez NETCONF (według NVD) | Kontrola nad całą siecią SD-WAN |
5 | Ruch boczny poza środowisko SD-WAN (według CISA) | Wejście do kolejnych systemów firmy |
6 | Zacieranie śladów: czyszczenie logów i historii poleceń, blokowanie przesyłania logów (według CISA) | Utrudnione wykrycie i analiza |
Ostatni etap ma znaczenie praktyczne. Skoro napastnik czyścił logi i blokował ich przesyłanie, brak śladów w systemie nie oznacza braku włamania.
Amerykańska agencja CISA oceniła tę podatność w modelu SSVC jako aktywnie wykorzystywaną, automatyzowalną i dającą całkowity wpływ techniczny (według wpisu w bazie NVD z 26 lutego 2026). Model EPSS, który szacuje prawdopodobieństwo wykorzystania, wskazywał 23 sierpnia 2026 wartość 0,88243, co plasuje podatność w percentylu 99,762 (według danych FIRST).
Obszar | Mechanizm straty |
|---|---|
Sieć firmowa | Napastnik może zmienić konfigurację całej sieci SD-WAN, łącznie z ruchem między oddziałami |
Pozostałe systemy | CISA opisuje ruch boczny poza środowisko SD-WAN, więc incydent nie kończy się na samej sieci |
Wykrywalność | Czyszczenie logów utrudnia ustalenie, co zostało zmienione i skopiowane |
Odbudowa | Jeśli doszło do przejęcia konta root, CISA nakazuje odbudowę płaszczyzny zarządzania z nowych obrazów OVA lub qcow2 dla vManage, vSmart i vBond oraz migrację urządzeń brzegowych do nowej infrastruktury |
Mogę Ci jakoś pomóc?
Ostatni wiersz tabeli to najcięższy scenariusz: oznacza zbudowanie centrum zarządzania siecią od zera i przeniesienie do niego urządzeń, zamiast zwykłej instalacji poprawki.
Według Cisco nie istnieje żadne obejście usuwające podatność i jedyną pełną metodą jest aktualizacja oprogramowania. Kolejność działań:
Priorytet | Działanie | Podstawa |
|---|---|---|
1 | Ustalić, czy firma używa Manager, Controller lub Validator, i w jakich wersjach | CISA nakazała agencjom inwentaryzację jako pierwszy krok |
2 | Zabezpieczyć logi i artefakty systemowe przed aktualizacją | Dyrektywa CISA ED 26-03 |
3 | Zaktualizować systemy do wydań naprawionych | Biuletyn Cisco |
4 | Dla wydań starszych niż 20.9 zaplanować migrację do wersji naprawionej | Biuletyn Cisco |
5 | Do czasu aktualizacji ograniczyć ruch na portach 22 i 830 do znanych adresów kontrolerów listami ACL i regułami zapory | Jedyna mitygacja tymczasowa według Cisco |
6 | Sprawdzić plik /var/log/auth.log pod kątem wpisów Accepted publickey for vmanage-admin z nieznanych adresów IP | Wskaźnik kompromitacji podany przez Cisco |
7 | Wdrożyć reguły Snort 65938 i 65958 | Biuletyn Cisco |
8 | Po stwierdzeniu przejęcia root odbudować środowisko z nowych obrazów i przenieść urządzenia brzegowe | Dyrektywa CISA ED 26-03 |
Wersje naprawione według biuletynu Cisco:
Gałąź oprogramowania | Pierwsza wersja naprawiona |
|---|---|
20.9 | 20.9.8.2 |
20.11 | 20.12.6.1 |
20.12 | 20.12.5.3 |
20.13, 20.14 i 20.15 | 20.15.4.2 |
20.16 i 20.18 | 20.18.2.1 |
Oś czasu zbudowana na podstawie biuletynu Cisco, katalogu KEV, bazy ENISA i danych FIRST:
Data | Zdarzenie |
|---|---|
2023 | Prawdopodobny początek złośliwej aktywności, według CISA |
25 lutego 2026 | Publikacja biuletynu Cisco (wersja 1.0), wpis do katalogu KEV, dyrektywa awaryjna ED 26-03; ta sama data figuruje w bazie ENISA jako początek wykorzystywania |
26 lutego 2026 | Ocena SSVC koordynatora CISA: eksploatacja aktywna, wpływ całkowity |
27 lutego 2026 | Termin dla agencji federalnych, godzina 17:00 czasu ET; poprawka tabeli wydań naprawionych w biuletynie |
3 marca 2026 | Aktualizacja zaleceń łagodzących w biuletynie Cisco |
16 czerwca 2026 | Wersja 2.0 biuletynu, do listy produktów podatnych dopisany Validator |
23 sierpnia 2026 | Wartość EPSS 0,88243 według danych FIRST |
Dwa fakty z tej chronologii warto zestawić: termin wyznaczony agencjom wynosił dwa dni, a według CISA ataki zaczęły się około trzy lata przed publikacją biuletynu.
# | Pytanie | Dlaczego jest ważne |
|---|---|---|
1 | Czy firma używa Cisco Catalyst SD-WAN Manager, Controller albo Validator? | Podatność dotyczy tych produktów niezależnie od konfiguracji |
2 | W jakiej wersji działają te systemy? | Wersje poniżej wydań naprawionych są zagrożone |
3 | Czy porty 22 i 830 są ograniczone do znanych adresów kontrolerów? | To jedyna mitygacja tymczasowa według Cisco |
4 | Czy sprawdzono auth.log pod kątem logowań vmanage-admin z nieznanych adresów IP? | To wskaźnik kompromitacji z biuletynu Cisco |
5 | Czy logi z systemów SD-WAN trafiają do niezależnego repozytorium? | Napastnik blokował przesyłanie logów, według CISA |
6 | Czy istnieje gotowa procedura odbudowy środowiska z obrazów OVA lub qcow2? | CISA nakazuje taki krok po przejęciu konta root |
Aktualizacja do wersji naprawionej zamyka podatność, ale nie odpowiada na pytanie, czy ktoś skorzystał z niej wcześniej. Dlatego biuletyn Cisco i dyrektywa CISA traktują przegląd logów oraz odbudowę środowiska jako element reakcji, a nie pracę dodatkową.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Po przeczytaniu tego wpisu dowiesz się, dlaczego serwery firmowe wystawiają porty, o których nikt nie pamięta, co znaczy „podatność nieokreślona” w komunikacie producenta i dlaczego wyciek danych bywa groźniejszy niż zniszczenie systemu - oraz dlaczego reakcja przyszła półtora roku po ataku.
Czytaj artykułTen wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Czytaj artykułFormularz do wgrywania pliku wygląda niewinnie i dlatego rzadko trafia na listę rzeczy do sprawdzenia. Usterka oznaczona numerem CVE-2026-20262 pokazuje, co się dzieje, gdy taki formularz przyjmuje nie tylko plik, ale też informację, gdzie go zapisać.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.