最近の脆弱性 › CVE-2026-20127
Cisco Catalyst SD-WAN Controller and Manager の認証回避の脆弱性（CVE-2026-20127）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-20127 |
|---|---|
| 製品 | Cisco Catalyst SD-WAN Controller and Manager |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-02-25 |
| 米国政府機関の対応期限 | 2026-02-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-287 |
何が起きた
Cisco Catalyst SD-WAN Controller と Cisco Catalyst SD-WAN Manager などで、機器どうしが互いを確かめる仕組み（ピア認証）が正しく働かない弱点が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できます。攻撃者は細工したリクエストを送ることで、内部用の高い権限を持つアカウントとしてログインし、NETCONF を通じて SD-WAN 全体のネットワーク設定を書き換えられる可能性があります。Cisco も、限られた範囲での悪用を把握していると公表しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Cisco Catalyst SD-WAN Controller（旧名 SD-WAN vSmart）、Cisco Catalyst SD-WAN Manager（旧名 SD-WAN vManage）、Cisco Catalyst SD-WAN Validator（旧名 SD-WAN vBond）を使っている組織が対象です。Cisco によると、設定にかかわらず影響を受け、自社設置型だけでなく Cisco がホストするクラウド型の環境も対象です。
何をすればいい
Cisco の公式の案内を確認し、修正版に更新してください。Cisco が示す修正版は、20.9 系なら 20.9.8.2、20.12 系なら 20.12.5.3 または 20.12.6.1、20.15 系なら 20.15.4.2、20.18 系なら 20.18.2.1 です。20.11 系は 20.12.6.1、20.13 系と 20.14 系は 20.15.4.2、20.16 系は 20.18.2.1 が示されていますが、これらは保守が終わった版で、20.9 より前の版も修正版のある版へ移る必要があります。回避策はないため、更新に加えて /var/log/auth.log に vmanage-admin への見覚えのないログイン記録がないかも確かめてください。
やることチェックリスト
- Cisco が示す修正版へ更新する
- 保守が終わった版は修正版のある版へ移行する
- auth.log で不審なログイン記録を調べる
用語メモ
- SD-WAN
- 複数の拠点をつなぐネットワークを、ソフトウェアでまとめて管理・制御する仕組みです。
- ピア認証
- ネットワーク機器どうしが、つながる相手が本物かどうかを互いに確かめる仕組みです。
- NETCONF
- ネットワーク機器の設定を、離れた場所から読み書きするための決まった手順（プロトコル）です。
元データ（英語・CISA KEV より）
Cisco Catalyst SD-WAN Controller and Manager Authentication Bypass Vulnerability
概要
Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, contain an authentication bypass vulnerability could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to an affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric.
推奨対応
Please adhere to CISA’s guidelines to assess exposure and mitigate risks associated with Cisco SD-WAN devices as outlines in CISA’s Emergency Directive 26-03 (URL listed below in Notes) and CISA’s “Hunt & Hardening Guidance for Cisco SD-WAN Devices (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.