Luka w API Cisco Catalyst SD-WAN Manager pozwala kontu tylko do odczytu nadpisać pliki na serwerze. Ataki potwierdzone, publiczny kod dostępny, brak obejścia. Sprawdź dzienniki i zaktualizuj konsolę.
Ten alert jest dla zarządu, CTO i CFO firm z siecią oddziałów zarządzaną przez Cisco Catalyst SD-WAN Manager (dawniej vManage). Werdykt: jeśli konsola nie stoi na wersji z poprawką z tabeli poniżej, zaktualizuj ją dziś i zleć sprawdzenie dzienników pod kątem śladów włamania, bo luka jest aktywnie wykorzystywana, a publiczny kod ataku jest dostępny.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała CVE-2026-20122 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w interfejsie programistycznym (API) konsoli Cisco Catalyst SD-WAN Manager, z której ustawia się ruch sieciowy we wszystkich oddziałach firmy. Osoba z kontem tylko do odczytu z dostępem do API może wgrać spreparowany plik, nadpisać dowolny plik na serwerze i uzyskać uprawnienia konta usługowego vmanage.
CISA wyznaczyła 3 dni na naprawę (do 23 kwietnia 2026 roku) i zamiast zwykłej procedury odesłała do dyrektywy nadzwyczajnej ED 26-03 dotyczącej systemów Cisco SD-WAN. Cisco potwierdziło aktywne wykorzystanie w marcu 2026 roku i podało, że nie ma obejścia: jedynym rozwiązaniem jest aktualizacja.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20122 (w europejskiej bazie EUVD-2026-8673) |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-04-23 (3 dni od wpisu), z odesłaniem do dyrektywy nadzwyczajnej ED 26-03 |
Produkt | Cisco Catalyst SD-WAN Manager (dawniej SD-WAN vManage), niezależnie od konfiguracji |
Wersje zagrożone | Starsze niż 20.9.8.2; 20.10 do 20.12.5.3 (bez niej); 20.12.6; 20.13 do 20.15.4.2 (bez niej); 20.16 do 20.18.2.1 (bez niej). Warunek ataku: ważne konto tylko do odczytu z dostępem do API |
Wersje bezpieczne | Linia 20.9: 20.9.8.2. Linie 20.10 i 20.11: 20.12.6.1. Linia 20.12: 20.12.5.3 lub 20.12.6.1. Linie 20.13, 20.14, 20.15: 20.15.4.2. Linie 20.16 i 20.18: 20.18.2.1. Wydania starsze niż 20.9: migracja do wersji z poprawką. Uwaga: 20.12.6 (bez „.1”) jest podatna |
Typ podatności | Nadpisanie dowolnego pliku przez niewłaściwą obsługę plików w API; CWE-648 (niewłaściwe użycie uprzywilejowanych API) |
Ocena CVSS | Cisco: 7.1 WYSOKA (CVSS 3.1, pełny wpływ na integralność, częściowy na dostępność). NVD: 5.4 ŚREDNIA (CVSS 3.1, częściowy wpływ na poufność i integralność). W obu: atak przez sieć, niska złożoność, wymagane niskie uprawnienia |
Wyobraź sobie centralę firmy kurierskiej, która steruje trasami wszystkich swoich oddziałów. Zewnętrzna firma audytorska dostała przepustkę „tylko do wglądu”, żeby mogła zaglądać do grafików i niczego nie zmieniać. Okazało się, że w okienku, przez które przyjmuje się dokumenty licencyjne, można podać kartkę z dopiskiem „odłóż to do szafy z instrukcjami dla kierowców”, a pracownik to robi, nie sprawdzając, do której szafy trafia dokument. Posiadacz przepustki do wglądu może w ten sposób podmienić instrukcje, według których pracuje cała centrala.
Tak działa ta luka. Konsola SD-WAN ma funkcję przyjmowania plików licencyjnych przez API. Nie pilnowała, gdzie zapisuje przesłany plik, więc spreparowana nazwa z wieloma odwołaniami „katalog wyżej” pozwalała zapisać plik w katalogu serwera aplikacji i uruchomić w ten sposób własny kod z uprawnieniami konsoli. Najbardziej zaskakujące jest to, że wystarczało konto z najniższymi uprawnieniami, zakładane zwykle bez zastanowienia dla firm monitorujących łącza.
💡 SD-WAN to sposób zarządzania siecią wielu oddziałów z jednej konsoli, która decyduje, którym łączem idzie jaki ruch. API to „okienko” dla programów, przez które inne systemy pobierają dane i wydają polecenia. Konto tylko do odczytu teoretycznie pozwala tylko oglądać. Wskaźniki włamania (IoC) to konkretne ślady, po których poznaje się zaatakowany system. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Firma monitorująca ma konto tylko do odczytu | Widzi stan łączy, niczego nie zmienia | Może nadpisać pliki na serwerze i uruchomić własny kod |
Wgranie potwierdzenia licencji przez API | Plik trafia do katalogu licencji | Plik trafia tam, gdzie wskaże napastnik, np. do katalogu wdrożeń serwera aplikacji |
Wyciek hasła do konta podglądowego | Traktowany jako mało istotny | Oznacza możliwość przejęcia konsoli sterującej całą siecią |
Aktualizacja do „wyższej” wersji 20.12.6 | Wydaje się bezpieczna | Nadal podatna, bezpieczna jest dopiero 20.12.6.1 |
Dzienniki konsoli | Zwykły ruch administracyjny | Wywołania /dataservice/smartLicensing/uploadAck i nieistniejącego adresu /cmd.gz/cmd.jsp |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na wskaźnikach włamania opublikowanych przez Cisco. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga ważnego konta z dostępem do API, więc nie zaczyna się od anonimowego żądania z internetu. CISA ocenia, że nie da się go zautomatyzować, czyli cele są wybierane świadomie. Cisco potwierdza, że istnieje opublikowany kod demonstracyjny ataku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T-dni do tygodni | Pozyskanie hasła do konta tylko do odczytu z dostępem do API (wyciek, wyłudzenie, konto partnera) | Ważne poświadczenia do konsoli |
2. Wgranie pliku | T+0 min | Wysłanie spreparowanego pliku do /dataservice/smartLicensing/uploadAck z nazwą wychodzącą poza katalog licencji | Plik zapisany w katalogu wdrożeń serwera aplikacji |
3. Uruchomienie kodu | T+1 do 5 min | Wywołanie nowo dodanego adresu, np. /cmd.gz/cmd.jsp | Wykonywanie poleceń z uprawnieniami użytkownika vmanage |
4. Utrwalenie | T+godziny | Pozostawienie ukrytego dostępu, dodatkowych plików i kont | Dostęp niezależny od pierwotnego hasła |
5. Kontrola sieci | T+dni | Odczyt i zmiana konfiguracji ruchu dla oddziałów | Możliwość przekierowania, podsłuchu lub zatrzymania ruchu |
6. Dalszy atak | T+dni do tygodni | Wykorzystanie konsoli jako punktu wyjścia do sieci firmy i oddziałów | Kradzież danych, sabotaż, przygotowanie większego ataku |
Konsola SD-WAN to mózg sieci wszystkich oddziałów. Jej przejęcie daje wpływ na to, którędy płyną dane, czy oddziały mają połączenie i jak skonfigurowane są routery brzegowe. Wymóg „konta tylko do odczytu” nie chroni, bo takie konta są najsłabiej pilnowane.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwy w łączności oddziałów, zatrzymanie sprzedaży i systemów magazynowych | Godziny do dni od przejęcia | 50 tys. do 400 tys. PLN (przestój, odbudowa konfiguracji) |
Bezpieczeństwo danych | Przekierowanie i podsłuch ruchu między oddziałami, wyciek konfiguracji sieci | Dni od włamania | 30 tys. do 250 tys. PLN (analiza powłamaniowa, przebudowa sieci) |
Finansowy | Koszty specjalistów, możliwa konieczność odbudowy struktury SD-WAN według instrukcji producenta | Tygodnie | 80 tys. do 600 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po awarii wielu lokalizacji lub wycieku | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z SD-WAN Manager bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo chodzi o konsolę sterującą siecią wszystkich oddziałów, a prawdopodobieństwo wysokie z powodu potwierdzonych ataków i publicznego kodu; nie jest to poziom maksymalny, bo atak wymaga ważnego konta z dostępem do API, a oceny CVSS (5.4 i 7.1) nie są krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić dokładny numer wersji SD-WAN Manager i porównać z tabelą Cisco (uwaga na 20.12.6 bez „.1”) | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Przeszukać dzienniki serviceproxy-access.log pod kątem /dataservice/smartLicensing/uploadAck i /cmd.gz/cmd.jsp oraz vmanage-server.log pod kątem zapisu plików .war | Dziś, przed aktualizacją | Administrator sieci / zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Zaktualizować konsolę do wersji z poprawką dla swojej linii; linie bez wsparcia (np. 20.10, 20.11, 20.13, 20.14, 20.16) przenieść na wskazaną wersję | Dziś | Administrator sieci / partner Cisco |
4 | 🟠 PILNIE | Zmienić hasła wszystkich kont z dostępem do API, także tylko do odczytu, i usunąć zbędne konta | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Ograniczyć dostęp do konsoli do znanych, zaufanych adresów za zaporą, wyłączyć HTTP i zbędne usługi (zalecenia Cisco) | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Jeśli ślady zostaną znalezione: zgłosić sprawę do Cisco TAC i rozważyć odbudowę struktury SD-WAN według instrukcji producenta | Do 7 dni | CTO / partner Cisco |
7 | 🟡 WAŻNIE | Przesyłać dzienniki konsoli na zewnętrzny serwer i przechowywać je wystarczająco długo do analizy | Do 30 dni | CTO |
Cisco wydało poprawki dla wszystkich linii i wprost stwierdza, że nie ma obejścia tej podatności. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do konsoli i API tylko z zaufanych adresów za zaporą (zalecenie Cisco) | Średnia do wysokiej: odcina napastników spoza tych adresów | Średnia |
Zmiana haseł i ograniczenie kont z dostępem do API do minimum | Średnia: unieważnia wykradzione hasła, nie usuwa luki | Łatwa |
Monitorowanie wywołań uploadAck i nieznanych adresów w dziennikach | Niska jako ochrona, wysoka do wykrycia | Łatwa |
Wyłączenie HTTP i zbędnych usług konsoli (zalecenie Cisco) | Niska wobec tej luki, ogólne utwardzenie | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja konsoli | Podatna, możliwe mylące 20.12.6 | Wersja z poprawką zgodna z tabelą Cisco |
Konta tylko do odczytu | Traktowane jako niegroźne | Przejrzane, z nowymi hasłami, tylko niezbędne |
Dostęp do konsoli | Możliwy z szerokiej puli adresów | Tylko z zaufanych adresów za zaporą |
Ślady włamania | Niesprawdzone | Dzienniki przejrzane, wynik udokumentowany |
Zgodność z terminem CISA | Zaległość od 23 kwietnia 2026 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco dowiedziało się o aktywnym wykorzystaniu w marcu 2026 roku; w tym samym biuletynie wykorzystywane są też CVE-2026-20128 i (od kwietnia) CVE-2026-20133 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.1 WYSOKA wg Cisco (CVSS 3.1); 5.4 ŚREDNIA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK: Cisco opisuje w biuletynie opublikowany kod demonstracyjny, który dodaje adres /cmd.gz/cmd.jsp |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Wewnętrzne testy Cisco (Advanced Security Initiatives Group) |
Prognoza EPSS | Około 25% szansy wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-20122
CVSS 3.1 (Cisco) 7.1/10 ██████████████░░░░░░ WYSOKA
CVSS 3.1 (NVD) 5.4/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (analiza źr.) ~25% █████░░░░░░░░░░░░░░░ UMIARKOWANA
PoC publiczny TAK ████████████████████ potwierdzony przez Cisco
CISA KEV + ED 26-03 TAK ████████████████████ ścieżka nadzwyczajna 2026-02-25 Cisco publikuje biuletyn, NVD publikuje CVE-2026-20122
2026-03-05 Aktualizacja biuletynu: aktywne wykorzystanie potwierdzone
2026-03-18 Aktualizacja biuletynu: wskaźniki włamania, dodana linia 20.10
2026-04-20 CISA dodaje lukę do katalogu KEV
2026-04-22 Ostatnia aktualizacja biuletynu Cisco (CVE-2026-20133)
2026-04-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco z tabelą wersji i wskaźnikami włamania: cisco-sa-sdwan-authbp-qwCX8D4v . Dyrektywa CISA: ED 26-03 oraz wytyczne wyszukiwania śladów i utwardzania . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20122 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub operator sieci używa Cisco Catalyst SD-WAN Manager | CTO | DZISIAJ |
2 | Uzyskać pisemnie dokładny numer wersji konsoli | CTO | DZISIAJ |
3 | Zlecić sprawdzenie dzienników pod kątem wskaźników włamania przed aktualizacją | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację | CTO | DO JUTRA |
5 | Otrzymać listę kont z dostępem do API, w tym kont partnerów i firm monitorujących | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową i odbudowę sieci SD-WAN | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z operatorem sieci obejmuje aktualizacje bezpieczeństwa i terminy ich wdrożenia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki dokładnie numer wersji ma nasza konsola Cisco Catalyst SD-WAN Manager? | [wersja] | 🔴 |
2 | Czy w dziennikach występują wywołania /dataservice/smartLicensing/uploadAck spoza znanej pracy administratorów? | TAK / NIE | 🔴 |
3 | Czy w dziennikach lub na dysku występuje /cmd.gz/cmd.jsp albo inne nieznane pliki .war? | TAK / NIE | 🔴 |
4 | Ile kont ma dostęp do API, także tylko do odczytu, i kto z nich korzysta? | [liczba], [lista] | 🟠 |
5 | Czy konsola jest dostępna z internetu, czy tylko z zaufanych adresów? | [opis dostępu] | 🟠 |
6 | Kiedy zmieniono hasła kont z dostępem do API? | [data] | 🟠 |
7 | Gdzie i jak długo przechowujemy dzienniki konsoli SD-WAN? | [miejsce], [okres] | 🟡 |
CVE-2026-20122 pozwala posiadaczowi konta tylko do odczytu z dostępem do API nadpisać pliki na serwerze Cisco Catalyst SD-WAN Manager i uruchomić własny kod. Luka jest aktywnie wykorzystywana, istnieje publiczny kod ataku, a termin CISA minął 23 kwietnia 2026 roku. Sprawdzenie dzienników, aktualizacja do właściwej wersji i przegląd kont to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.