- ひとことでCisco Catalyst SD-WAN Manager の API で、ファイルを上書きされる弱点です。
- 深刻度5.4 警告CVSS v3.1
- まずやること勧告の表にある修正版のリリースに更新する
基本情報（データから表示）
| CVE番号 | CVE-2026-20122 |
|---|---|
| 製品 | Cisco Catalyst SD-WAN Manger |
| 深刻度（CVSS） | 5.4 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
| KEVへの追加日 | 2026-04-20 |
| 米国政府機関の対応期限 | 2026-04-23 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-648 |
何が起きた
Cisco Catalyst SD-WAN Manager の API（外部から機能を呼び出す窓口）で、ファイルの扱いに問題があり、悪意のあるファイルをアップロードされて任意の（攻撃者が好きに選べる）ファイルを上書きされる弱点が見つかりました。その結果、攻撃者は vmanage の利用者の権限を得られます。悪用には、API を使える読み取り専用のアカウントが必要で、NVD の評価では、ネットワーク経由で、一般利用者程度の権限があれば悪用できます。Cisco は 2026年3月に実際の悪用を把握しており、悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Cisco Catalyst SD-WAN Manager を使っている組織が影響を受けます。Cisco の勧告では、設定にかかわらず、修正版より前のリリースが対象です。
何をすればいい
Cisco の公式の案内（セキュリティ勧告）を確認し、修正版に更新されているか確認してください。主な修正版は 20.9.8.2、20.12.5.3、20.12.6.1、20.15.4.2、20.18.2.1 で、回避策はありません。Cisco は侵入の痕跡として、serviceproxy-access.log の中に /dataservice/smartLicensing/uploadAck や /cmd.gz/cmd.jsp へのアクセスがないかを調べるよう案内しています。
やることチェックリスト
- 勧告の表にある修正版のリリースに更新する
- ログに uploadAck への不審なアクセスがないか調べる
- API を使えるアカウントを必要な人だけにする
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Cisco Catalyst SD-WAN Manager Incorrect Use of Privileged APIs Vulnerability
概要
Cisco Catalyst SD-WAN Manager contains an incorrect use of privileged APIs vulnerability due to improper file handling on the API interface of an affected system. An attacker could exploit this vulnerability by uploading a malicious file on the local file system. A successful exploit could allow the attacker to overwrite arbitrary files on the affected system and gain vmanage user privileges.
推奨対応
Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.
この元データの出どころ: CISA KEV カタログで見る