Cisco Catalyst SD-WAN Manager の脆弱性（CVE-2026-20128）

何が起きた

Cisco Catalyst SD-WAN Manager のデータ収集機能（DCA）で、DCA の利用者のパスワードが入ったファイルが機器に置かれており、それを読み取られる弱点が見つかりました。Cisco の勧告と NVD の説明では、ログインしていない攻撃者が離れた場所から細工した HTTP のリクエストを送ってこのファイルを読み、別の機器で DCA の利用者の権限を得られると説明されています。一方で NVD に登録された Cisco の評価では、対象の機器上で、管理者などの高い権限が必要な攻撃とされています。CISA の概要でも、対象の機器上で、権限の低いログイン済みの利用者として悪用する攻撃と説明されています。Cisco は 2026年3月に実際の悪用を把握しており、悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cisco Catalyst SD-WAN Manager を使っている組織が影響を受けます。Cisco によると、20.18 以降のリリースはこの弱点の影響を受けません。

何をすればいい

Cisco の公式の案内（セキュリティ勧告）を確認し、修正版に更新されているか確認してください。主な修正版は 20.9.8.2、20.12.5.3、20.12.6.1、20.15.4.2、20.18.2.1 で、回避策はありません。Cisco は侵入の痕跡として、serviceproxy-access.log の中に .dca ファイルへのアクセスがないかを調べ、管理者の作業と時刻や接続元を見比べるよう案内しています。

やることチェックリスト

• 勧告の表にある修正版のリリースに更新する
• ログに .dca ファイルへの不審なアクセスがないか調べる
• 管理画面への接続を信頼できる相手だけに制限する

用語メモ

DCA

Data Collection Agent の略で、機器の情報を集めるための機能です。

HTTP 用語集で見る

ブラウザとサーバーがやり取りするときの、基本的な通信の決まりです。

侵入の痕跡 用語集で見る

攻撃者が入り込んだときに、ログなどに残る手がかりのことです。