W Cisco Catalyst SD-WAN Manager hasło agenta DCA leży w pliku, który da się odczytać. Cisco i CISA potwierdzają ataki. Zaktualizuj konsolę, a potem zmień hasło DCA, bo poprawka nie unieważnia wykradzionych danych.
Ten alert jest dla zarządu, CTO i CFO firm z wieloma oddziałami, które zarządzają siecią przez Cisco Catalyst SD-WAN Manager (dawniej vManage). Werdykt: jeśli Twoja instalacja jest starsza niż gałąź 20.18 i nie ma poprawki, zaktualizuj ją i zmień hasło agenta DCA dziś, bo Cisco i CISA potwierdzają aktywne wykorzystanie tej luki.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała podatność CVE-2026-20128 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy funkcji Data Collection Agent (DCA) w Cisco Catalyst SD-WAN Manager, centralnej konsoli zarządzającej siecią między oddziałami firmy. Hasło użytkownika agenta DCA leży w systemie w pliku, który da się odczytać, a zdobyte hasło daje uprawnienia tego użytkownika.
Termin naprawy wyznaczony przez CISA minął 23 kwietnia 2026 roku, czyli prawie pięć miesięcy temu. Ważne: sama aktualizacja nie unieważnia hasła, które mogło już wyciec. Po wgraniu poprawki trzeba je zmienić.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20128 (w europejskiej bazie EUVD-2026-8676) |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-04-23 (3 dni od wpisu) |
Produkt | Cisco Catalyst SD-WAN Manager (dawniej vManage), funkcja Data Collection Agent |
Wersje zagrożone | Wg NVD: wydania starsze niż 20.9.8.2; 20.10 do 20.12.5.2; 20.12.6; 20.13 do 20.15.4.1; 20.16 i 20.17 |
Wersje bezpieczne | 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 oraz 20.18.2.1, zależnie od gałęzi. Gałąź 20.18 i nowsze nie są podatne w ogóle. Producent: brak obejść, jedyną drogą jest aktualizacja |
Typ podatności | Przechowywanie haseł w postaci odwracalnej, ujawnienie poświadczeń; CWE-257 |
Ocena CVSS | Cisco (zapis w NVD): 7.5 (CVSS 3.1, WYSOKA), wektor AV:L/AC:H/PR:H/S:C, czyli atak lokalny, wysoka złożoność, wysokie uprawnienia |
Rozbieżność opisów | Cisco w opisie: napastnik zdalny, bez logowania, przez spreparowane żądanie HTTP. CISA KEV: napastnik uwierzytelniony, lokalny, z niskimi uprawnieniami. Wektor CVSS: lokalny, wysokie uprawnienia |
Trzy opisy tej samej luki różnią się co do tego, kto może ją wykorzystać. Jeśli interfejs zarządzania jest osiągalny przez sieć bez ograniczeń, planuj według wersji producenta (atak z sieci bez konta). Jeśli dostęp do konsoli mają tylko zaufani administratorzy z wydzielonej sieci, bliższy rzeczywistości jest opis CISA (napastnik musi już mieć konto), ale luka i tak jest wykorzystywana.
Wyobraź sobie, że firma zatrudnia kuriera, który co noc odbiera z biura raporty i zawozi je do centrali. Żeby mógł wejść, dostał własny klucz do drzwi. Problem polega na tym, że zapasowy klucz kuriera wisi na haczyku w przedsionku, do którego da się zajrzeć z zewnątrz. Kto go zdejmie, wchodzi jako kurier. A wymiana zamka w drzwiach frontowych nic nie da, jeśli ktoś wcześniej dorobił sobie kopię tego klucza.
Tak działała ta luka. Agent DCA zbiera dane telemetryczne i wysyła je dalej, więc musi mieć hasło. To hasło było zapisane w pliku, z którego dało się je odzyskać. Poprawka usuwa możliwość odczytu, ale hasło, które już wyciekło, działa, dopóki ktoś go nie zmieni.
💡 SD-WAN to sposób łączenia oddziałów firmy w jedną sieć przez zwykłe łącza internetowe, zarządzany z jednej konsoli. Data Collection Agent (DCA) to wbudowany agent zbierający dane o pracy systemu. Postać odwracalna oznacza, że z zapisanego hasła da się odtworzyć oryginał. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Hasło agenta DCA | Znane tylko systemowi, nie do odczytania | Leży w pliku, z którego da się je odzyskać |
Wgranie poprawki | Zamyka problem | Zamyka możliwość odczytu, ale wykradzione hasło działa dalej |
Analiza dziennika dostępu | Wpisy pokazują pracę administratorów | Legalne i wrogie odwołania do pliku wyglądają tak samo |
Uprawnienia napastnika | Brak | Uprawnienia użytkownika DCA, także na innym systemie |
Obejście bez aktualizacji | Zwykle możliwe | Producent: brak obejść |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Punktem wyjścia jest dostęp do konsoli SD-WAN Manager: według producenta wystarczy dostęp sieciowy do interfejsu, według CISA napastnik musi już mieć konto z niskimi uprawnieniami. Cisco potwierdziło w marcu 2026 roku aktywne wykorzystanie dwóch luk z tego samego komunikatu, w tym tej.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie osiągalnych konsol SD-WAN Manager albo wykorzystanie już zdobytego dostępu do sieci zarządzania | Cel zidentyfikowany |
2. Odczyt pliku | T+kilka do kilkudziesięciu minut | Spreparowane żądanie HTTP lub odczyt z konta o niskich uprawnieniach do pliku z hasłem DCA | Hasło agenta w rękach napastnika |
3. Użycie hasła | T+godziny do dni | Logowanie jako użytkownik DCA na tym lub innym systemie | Podwyższone uprawnienia |
4. Poszerzanie dostępu | T+dni | Szukanie kolejnych słabości konsoli i systemów, do których pasuje zdobyte hasło | Szerszy wpływ na zarządzanie siecią |
5. Utrwalenie | T+dni do tygodni | Utrzymanie dostępu mimo aktualizacji, jeśli hasło nie zostało zmienione | Ukryty, trwały dostęp |
6. Skutek dla firmy | T+tygodnie | Podgląd lub zmiana konfiguracji sieci oddziałów | Przerwy w łączności, ryzyko przechwycenia ruchu |
Mogę Ci jakoś pomóc?
Konsola SD-WAN zarządza łącznością wszystkich oddziałów. Przejęcie choćby części jej uprawnień to ryzyko dla ciągłości pracy całej firmy. Szczególnie zdradliwe jest to, że wyciek hasła nie znika po aktualizacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmiany konfiguracji, przerwy w łączności między oddziałami | Dni do tygodni od wycieku hasła | 30 tys. do 300 tys. PLN (przestój oddziałów, prace serwisowe) |
Bezpieczeństwo danych | Wgląd w konfigurację i dane telemetryczne sieci, krok do dalszych ataków | Dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, zmiana poświadczeń) |
Finansowy | Koszty zewnętrznych specjalistów, pilnych aktualizacji i ewentualnej odbudowy konsoli | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów przy przerwach w obsłudze w oddziałach | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone zlecenia) |
Prawny | Jeśli w wyniku włamania wyciekną dane osobowe: zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SD-WAN Manager starszym niż 20.18
bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka jest potwierdzona w atakach i dotyczy centralnej konsoli sieci, ale nie maksymalne, bo sam błąd daje uprawnienia użytkownika agenta, a nie pełną kontrolę, i zależnie od źródła może wymagać wcześniejszego dostępu; przy konsoli wystawionej do internetu przesuń znacznik w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Catalyst SD-WAN Manager i czy interfejs zarządzania jest osiągalny z internetu | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do konsoli do zaufanych adresów administratorów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką dla swojej gałęzi (20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2, 20.18.2.1) | Do 2 dni | Administrator sieci / partner Cisco |
4 | 🔴 NATYCHMIAST | Po aktualizacji zmienić hasło użytkownika DCA i inne poświadczenia, które mogły być dostępne | Zaraz po aktualizacji | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć dziennik /var/log/nms/containers/service-proxy/serviceproxy-access.log pod kątem odwołań do katalogu data-collection-agent z nieznanych adresów | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wykonać czynności z dyrektywy CISA ED 26-03 i jej uzupełnienia o szukaniu śladów włamania na urządzeniach SD-WAN | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Spisać adresy, z których łączą się własni administratorzy i firmy zewnętrzne, oraz godziny ich prac | Do 14 dni | CTO |
8 | 🟡 WAŻNIE | Zaplanować przejście na gałąź 20.18 lub nowszą, która nie jest podatna | Do 60 dni | CTO |
Cisco wydało poprawki dla wszystkich wspieranych gałęzi i stwierdziło, że obejście nie istnieje. Poniższe działania nie usuwają luki, tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do interfejsu zarządzania do listy zaufanych adresów | Średnia: utrudnia atak z zewnątrz, nie pomaga wobec osoby z kontem | Łatwa do średniej |
Przegląd i ograniczenie kont z dostępem do konsoli | Średnia wobec scenariusza opisanego przez CISA | Łatwa |
Zmiana hasła DCA (po aktualizacji, a doraźnie także przed nią) | Średnia przed aktualizacją, bo hasło nadal da się odczytać; wysoka po aktualizacji | Średnia |
Regularny przegląd dziennika dostępu z filtrowaniem własnych adresów | Niska jako ochrona, przydatna do wykrycia nadużycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Plik z hasłem DCA | Możliwy do odczytu | Zabezpieczony przez poprawkę |
Hasło agenta DCA | Mogło wyciec i nadal działa | Zmienione, stare nieważne |
Dostęp do konsoli | Potencjalnie z dowolnego adresu | Tylko z zaufanych adresów |
Analiza dzienników | Brak punktu odniesienia | Lista własnych adresów pozwala odsiać legalny ruch |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed prawie 5 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Zespół bezpieczeństwa Cisco potwierdził w marcu 2026 roku aktywne wykorzystanie dwóch z pięciu luk z komunikatu, w tym tej |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg Cisco (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Dyrektywa CISA | CISA odsyła do dyrektywy nadzwyczajnej ED 26-03 dla urządzeń Cisco SD-WAN; sama dyrektywa i jej uzupełnienie nie wymieniają tego numeru CVE, ale opisują czynności dla tego typu sprzętu |
Sygnały zagrożenia dla CVE-2026-20128
CVSS 3.1 (Cisco) 7.5/10 ███████████████░░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Potwierdzenie Cisco TAK ████████████████████ marzec 2026
Obejście producenta BRAK ████████████████████ tylko aktualizacja
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-02-25 Cisco publikuje komunikat cisco-sa-sdwan-authbp-qwCX8D4v
(5 luk), publikacja CVE w NVD
2026-03 Cisco potwierdza aktywne wykorzystanie tej luki
2026-04-20 CISA dodaje lukę do katalogu KEV
2026-04-22 Ostatnia aktualizacja komunikatu Cisco
2026-04-23 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z wersjami: Cisco Security Advisory cisco-sa-sdwan-authbp-qwCX8D4v . Wytyczne CISA: dyrektywa ED 26-03 oraz uzupełnienie o szukaniu śladów i utwardzaniu . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20128 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa Cisco Catalyst SD-WAN Manager i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać potwierdzenie, że konsola nie jest dostępna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić pilne okno serwisowe na aktualizację | CTO | DZISIAJ |
4 | Zlecić zmianę hasła DCA i powiązanych poświadczeń po aktualizacji | CTO | DO JUTRA |
5 | Zlecić przegląd dziennika dostępu od lutego 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową i migrację na gałąź 20.18 | CFO | DO JUTRA |
7 | Sprawdzić w umowie z partnerem sieciowym, kto odpowiada za aktualizacje bezpieczeństwa konsoli | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji działa nasz Catalyst SD-WAN Manager? | [wersja] | 🔴 |
2 | Czy interfejs zarządzania jest osiągalny z internetu? | TAK / NIE | 🔴 |
3 | Czy po aktualizacji zmieniliśmy hasło użytkownika DCA? | TAK / NIE, data: [data] | 🔴 |
4 | Kto ma konta w konsoli i czy wszystkie są nadal potrzebne? | [liczba kont] | 🟠 |
5 | Czy przejrzeliśmy dziennik serviceproxy-access.log pod kątem odwołań do data-collection-agent? | TAK / NIE | 🟠 |
6 | Czy mamy listę adresów, z których łączą się nasi administratorzy i partnerzy? | TAK / NIE | 🟠 |
7 | Kiedy przejdziemy na gałąź 20.18 lub nowszą? | [data] | 🟡 |
CVE-2026-20128 pozwala odczytać hasło agenta DCA w Cisco Catalyst SD-WAN Manager starszym niż 20.18, a Cisco i CISA potwierdzają ataki. Aktualizacja jest jedyną drogą naprawy, ale nie wystarczy: po niej trzeba zmienić hasło DCA i przejrzeć dzienniki, bo wykradzione wcześniej poświadczenia działają dalej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.