Luka w panelu Cisco Catalyst SD-WAN Manager pozwala odczytać wrażliwe pliki i w łańcuchu z dwoma innymi błędami przejąć panel. Kod ataku jest publiczny, CISA potwierdza ataki. Zaktualizuj i sprawdź logi dziś.
Ten alert jest dla zarządu, CTO i CFO firm z oddziałami, sklepami lub magazynami połączonymi siecią Cisco Catalyst SD-WAN. Werdykt: jeśli panel SD-WAN Manager (dawniej vManage) nie ma poprawki z lutego 2026, zaktualizuj go dziś i sprawdź, czy ktoś już nie był w środku, bo luka jest aktywnie wykorzystywana, a kod ataku jest publiczny.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała podatność CVE-2026-20133 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy Cisco Catalyst SD-WAN Manager, centralnego panelu, z którego firma steruje siecią łączącą wszystkie lokalizacje. Pozwala odczytać wrażliwe pliki systemu operacyjnego panelu.
Tego samego dnia do katalogu trafiły dwie pokrewne luki w tym samym produkcie, CVE-2026-20128 i CVE-2026-20122. Cisco opisuje wszystkie trzy w jednym biuletynie (cisco-sa-sdwan-authbp-qwCX8D4v), a zespół Cisco Talos obserwował ich wspólne użycie w atakach. Poprawki są dostępne od 25 lutego 2026 roku, a termin CISA minął 23 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20133 |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-04-23 (3 dni od wpisu) |
Produkt | Cisco Catalyst SD-WAN Manager (dawniej SD-WAN vManage) |
Wersje zagrożone | Wszystkie wydania bez poprawki, niezależnie od konfiguracji: linie starsze niż 20.9 oraz 20.9, 20.10, 20.11, 20.12, 20.13, 20.14, 20.15, 20.16 i 20.18 sprzed wydań z poprawką |
Wersje bezpieczne | 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2, 20.18.2.1 lub nowsze w danej linii (szczegóły w mapie aktualizacji w sekcji 5) |
Typ podatności | Ujawnienie wrażliwych informacji z powodu niewystarczających ograniczeń dostępu do systemu plików; CWE-200 |
Ocena CVSS | NVD: 7.5 (CVSS 3.1, WYSOKA, bez logowania). Cisco w rekordzie CVE: 6.5 (CVSS 3.1, ŚREDNIA, wymagane niskie uprawnienia). Według analizy źródłowej biuletyn Cisco w najnowszej wersji podaje 7.5 |
Źródła różnią się co do wymaganego dostępu. Pierwsze zdanie opisu mówi o nieuwierzytelnionym, zdalnym napastniku (dostęp przez API panelu), a dalsza część o koncie z rolą netadmin i powłoce vshell. W praktyce Talos opisuje ataki bez wcześniejszego konta, gdy lukę łączy się z CVE-2026-20128, dlatego decyzje warto opierać na poważniejszej ocenie 7.5.
CVE | Na czym polega | CVSS (wg analizy źródłowej) | Ataki wg Cisco |
|---|---|---|---|
CVE-2026-20133 | Odczyt wrażliwych plików przez API | 7.5 | Od kwietnia 2026 |
CVE-2026-20128 | Odczyt pliku z hasłem konta DCA, bez logowania | 7.5 | Od marca 2026 |
CVE-2026-20122 | Nadpisanie dowolnych plików przez API, wymaga konta tylko do odczytu | 7.1 | Od marca 2026 |
Wyobraź sobie biurowiec z recepcją, przez którą przechodzi każdy gość. Recepcjonista sprawdza identyfikatory i wpuszcza tylko do wybranych pokoi. Ta luka działa tak, jakby przez okienko recepcji dało się poprosić o dowolną teczkę z archiwum, w tym o teczkę z kopiami kluczy do pomieszczeń, i ją dostać.
Sama teczka niczego jeszcze nie otwiera. Ale ktoś, kto ma plan budynku i kopie kluczy, nie musi wybijać okien. W przypadku SD-WAN Manager tym budynkiem jest cała sieć firmy: wszystkie oddziały, szyfrowane połączenia i reguły ruchu. W realnych atakach odczytane dane były pierwszym ogniwem łańcucha kończącego się przejęciem panelu.
💡 SD-WAN to sposób łączenia wielu lokalizacji firmy w jedną sieć sterowaną z jednego panelu. API to techniczne wejście do programu, przez które inne systemy wymieniają z nim dane. Webshell to ukryty plik na serwerze, przez który napastnik steruje maszyną z przeglądarki. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane. PoC (proof of concept) to kod pokazujący, jak wykorzystać lukę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do plików systemu panelu | Tylko administrator po zalogowaniu | Także napastnik, przez API panelu |
Co widzi osoba z zewnątrz | Stronę logowania | Wrażliwe pliki systemu operacyjnego |
Wiedza o konfiguracji sieci | Tylko zespół IT | Także napastnik |
Kolejny krok | Brak | Logowanie zdobytymi danymi, połączenie z CVE-2026-20122 i wgranie webshella |
Kto kontroluje sieć oddziałów | Firma | Potencjalnie przestępcy |
źródło: Pexels, Brett SaylesPoniżej typowy przebieg ataku, poglądowy, oparty na opisie Cisco Talos z maja 2026 roku. Napastnik potrzebuje sieciowego dostępu do panelu SD-WAN Manager; najbardziej narażone są panele wystawione do internetu. Według Talos w marcu 2026 roku firma ZeroZenX Labs opublikowała gotowy kod ataku z webshellem JSP, łączący CVE-2026-20133, CVE-2026-20128 i CVE-2026-20122, a większość obserwowanych prób ataku z niego korzystała.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu paneli SD-WAN Manager | Lista niezałatanych celów |
2. Odczyt danych | T+kilka minut | Zapytania do API z użyciem CVE-2026-20133 i CVE-2026-20128 | Wrażliwe pliki, w tym dane logowania |
3. Wgranie pliku | T+kilkanaście minut | Użycie zdobytych danych i CVE-2026-20122 do nadpisania plików | Webshell na serwerze |
4. Utrwalenie | T+kilkadziesiąt minut | Kolejne webshelle, narzędzia do kradzieży haseł, skanery sieci | Trwały dostęp do panelu |
5. Dalsze działania | T+godziny do tygodni | Kradzież kluczy, haseł i poświadczeń chmurowych, koparki kryptowalut | Ruch w sieci firmy lub w chmurze |
Mogę Ci jakoś pomóc?
Panel SD-WAN nie jest zwykłym serwerem. To miejsce, z którego zarządza się połączeniami wszystkich lokalizacji. Kto go kontroluje, kontroluje sieć. Od publikacji poprawek minęło prawie siedem miesięcy, więc niezałatany panel trzeba traktować jak potencjalnie przejęty.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwa w łączności oddziałów, kasy i magazyny bez dostępu do systemów centralnych | Godziny | 20 tys. do 150 tys. PLN za dzień przestoju |
Bezpieczeństwo danych | Wyciek haseł, kluczy i konfiguracji, dalszy dostęp do systemów z danymi klientów | Minuty do dni | 50 tys. do 400 tys. PLN (analiza powłamaniowa, wymiana poświadczeń, odbudowa) |
Finansowy | Nieplanowana przebudowa sieci, koszty koparek w chmurze, zewnętrzni specjaliści | Dni do tygodni | 30 tys. do 300 tys. PLN |
Reputacyjny | Utrata zaufania klientów i partnerów po incydencie | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezałatanym SD-WAN Manager
Wpływ
5 | . . . . ■ ← KRYTYCZNE (łańcuch trzech luk, panel w internecie)
4 | . . . . .
3 | . . ■ . . ← sama CVE-2026-20133, panel tylko w sieci wewnętrznej
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka to odczyt danych (ocena 7.5, bez wpływu na integralność), ale przy panelu dostępnym z internetu, publicznym kodzie ataku i łączeniu z dwiema pokrewnymi lukami realne ryzyko jest krytyczne; panel odcięty od internetu obniża prawdopodobieństwo, nie usuwa luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję SD-WAN Manager we wszystkich instalacjach, także u integratora | Dziś | Kierownik IT |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do panelu z internetu, zostawić tylko zaufane adresy administratorów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zabezpieczyć kopię logów na zewnętrznym serwerze przed aktualizacją | Dziś, przed aktualizacją | Administrator sieci |
4 | 🔴 NATYCHMIAST | Zaktualizować do wydania z poprawką dla swojej linii | Dziś lub w najbliższym awaryjnym oknie | Kierownik IT z integratorem Cisco |
5 | 🟠 PILNIE | Przeszukać logi pod kątem wskaźników włamania z biuletynu Cisco (m.in. odwołania do /cmd.gz/cmd.jsp i /dataservice/smartLicensing/uploadAck) oraz nieznanych plików JSP | 24 do 48 godz. | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wymienić hasła administratorów, konta DCA, klucze i poświadczenia chmurowe dostępne z panelu | 48 godz. | Administrator / zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Dla linii bez wsparcia (starsze niż 20.9, 20.11, 20.13, 20.14, 20.16) zaplanować migrację na wspierane wydanie | Do 7 dni | CTO z integratorem |
8 | 🟡 WAŻNIE | Zapoznać się z wytycznymi CISA ED 26-03 dotyczącymi wyszukiwania śladów i utwardzania Cisco SD-WAN | Do 7 dni | Zespół bezpieczeństwa |
Obecna linia | Pierwsze wydanie z poprawką | Uwagi |
|---|---|---|
Starsza niż 20.9 | Migracja na wspierane wydanie z poprawką | Brak poprawki dla tej linii |
20.9 | 20.9.8.2 | Aktualizacja w ramach linii |
20.10, 20.11 | 20.12.6.1 | Przejście na nowszą linię |
20.12 | 20.12.5.3 lub 20.12.6.1 | Aktualizacja w ramach linii |
20.13, 20.14, 20.15 | 20.15.4.2 | Dla 20.13 i 20.14 przejście na nowszą linię |
20.16, 20.18 | 20.18.2.1 | Dla 20.16 przejście na nowszą linię |
Cisco wydał poprawki i podaje, że obejść nie ma. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie panelu od internetu, dostęp tylko z zaufanych adresów | Wysoka: usuwa masowe skanowanie jako drogę ataku | Łatwa |
Izolacja panelu w osobnym segmencie sieci zarządzania | Wysoka | Trudna: wymaga zmian w sieci |
Wyłączenie zbędnych usług panelu (np. HTTP, FTP) | Niska: zmniejsza powierzchnię ataku, nie usuwa luki | Łatwa |
Wysyłanie logów na zewnętrzny serwer i codzienny przegląd | Niska jako ochrona, kluczowa do wykrycia włamania | Średnia |
Mogę Ci jakoś pomóc?
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja panelu | Wydanie bez poprawki | Wydanie z poprawką dla danej linii |
Dostęp do panelu | Otwarty z internetu | Tylko z zaufanych adresów administratorów |
Logi | Tylko na urządzeniu, łatwe do skasowania | Kopia na zewnętrznym serwerze |
Hasła i klucze | Mogły wyciec | Wymienione po aktualizacji |
Wiedza o włamaniu | Brak | Przegląd wskaźników włamania wykonany i udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco potwierdza ataki od kwietnia 2026, Talos opisuje je jako szeroko rozpowszechnione |
Grupy przestępcze | Talos opisuje wiele ponumerowanych klastrów aktywności, odrębnych od grupy UAT-8616; brak publicznej atrybucji do nazwanej grupy |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg NVD (CVSS 3.1); 6.5 ŚREDNIA wg Cisco w rekordzie CVE |
PoC dostępny publicznie? | TAK, kod ZeroZenX Labs z marca 2026 (według Talos błędnie opisany przez autorów jako CVE-2026-20127) |
Liczba atakowanych firm | Brak publicznych informacji |
Narzędzia po włamaniu (Talos) | Webshelle XenShell, Godzilla, Behinder, narzędzia do kradzieży poświadczeń, XMRig, skanery KScan i QScan |
Prognoza EPSS | Ok. 0,31 (31% szansy próby wykorzystania w 30 dni) na 13 września 2026, więcej niż u ok. 98% znanych luk |
Sygnały zagrożenia dla CVE-2026-20133
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~31% ██████░░░░░░░░░░░░░░ WYSOKA jak na tło
EPSS percentyl ~98% ████████████████████ czołówka
Publiczny kod ataku TAK ████████████████████ od marca 2026
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-02-25 Cisco publikuje biuletyn i poprawki, CVE-2026-20133 w NVD
2026-02-25 CISA wydaje dyrektywę ED 26-03 dla systemów Cisco SD-WAN
2026-03-05 Cisco potwierdza ataki na CVE-2026-20128 i CVE-2026-20122
2026-03 ZeroZenX Labs publikuje kod ataku, zaczyna się masowe wykorzystanie
2026-03-18 Cisco dodaje do biuletynu wskaźniki włamania
2026-04-20 CISA dodaje CVE-2026-20133 do katalogu KEV
2026-04-22 Cisco aktualizuje biuletyn (wersja 1.3) o ataki na CVE-2026-20133
2026-04-23 Termin naprawy wg CISA dla agencji federalnych
2026-05-14 Cisco Talos publikuje analizę ataków i narzędzi
2026-09-13 EPSS ok. 0,31
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco z tabelą poprawek i wskaźnikami włamania: sec.cloudapps.cisco.com: cisco-sa-sdwan-authbp-qwCX8D4v . Wytyczne CISA: ED 26-03 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20133 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub integrator używa Cisco Catalyst SD-WAN Manager i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie panelu od internetu i awaryjne okno serwisowe | CTO | DZISIAJ |
3 | Uprzedzić oddziały o możliwej krótkiej przerwie technicznej | CTO | DZISIAJ |
4 | Zlecić zabezpieczenie logów i przegląd wskaźników włamania | CTO | DO JUTRA |
5 | Zlecić wymianę haseł i kluczy dostępnych z panelu | CTO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa daje dostęp do poprawek i wsparcia Cisco | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową i ewentualną migrację z linii bez wsparcia | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy korzystamy z Cisco Catalyst SD-WAN Manager (vManage), także w usłudze integratora? | TAK / NIE | 🔴 |
2 | Jaką dokładnie wersję ma każda instalacja panelu? | [wersja] | 🔴 |
3 | Czy panel jest osiągalny z internetu? | TAK / NIE | 🔴 |
4 | Czy przejrzeliśmy logi pod kątem wskaźników włamania z biuletynu Cisco? | TAK / NIE, [data] | 🔴 |
5 | Czy po aktualizacji wymieniliśmy hasła, konto DCA i klucze? | TAK / NIE, [data] | 🟠 |
6 | Czy któraś instalacja jest na linii bez wsparcia? | TAK / NIE, [linia] | 🟠 |
7 | Czy logi panelu trafiają na zewnętrzny serwer i jak długo są przechowywane? | TAK / NIE, [liczba dni] | 🟡 |
CVE-2026-20133 w Cisco Catalyst SD-WAN Manager pozwala odczytać wrażliwe pliki panelu, a w połączeniu z CVE-2026-20128 i CVE-2026-20122 prowadzi do jego przejęcia. Luka jest aktywnie wykorzystywana, kod ataku jest publiczny, a obejść nie ma, więc aktualizacja, odcięcie panelu od internetu i przegląd logów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.