Cisco SD-WANのピア認証の脆弱性CVE-2026-20182の悪用
Cisco Talosの2026年5月14日の報告によると、Cisco Catalyst SD-WAN ControllerとManagerの認証回避の脆弱性CVE-2026-20182が悪用され、悪用はこれまでのところ限定的とみられる［1］。悪用に成功すると、認証されていない遠隔の攻撃者が認証を回避し、影響を受けるシステムの管理者権限を得る［1］。回避策は無く［3］、Ciscoは修正版への更新を強く勧めている［5］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-20182（不具合ID CSCwt50498） | ［3］ |
| CVSS | 基本値10.0、Critical（Cisco） | ［3］ |
| CVSS v3.1のベクトル | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | ［6］ |
| CWE | CWE-287 | ［3］ |
| 悪用されたときの影響 | 内部の高権限の非rootユーザーアカウントでControllerにログインし、NETCONFからSD-WANファブリックのネットワーク設定を操作できる | ［6］ |
| CISAのSSVCの評価 | exploitation: active、automatable: yes、technicalImpact: total | ［6］ |
アドバイザリの説明では、この脆弱性は制御接続のハンドシェイクにある新しい脆弱性である［3］。2月に公開したCatalyst SD-WAN Controllerの認証回避の脆弱性の後に発見し、修正した［3］。NVDのCVEの記録によると、原因はピア認証の仕組みが正しく動かないことで、攻撃者は細工した要求を送って悪用できる［6］。
Rapid7は、悪用された認証回避の脆弱性CVE-2026-20127を調べる中でCVE-2026-20182を発見したと報告した［12］。脆弱性はDTLS（UDPの12346番ポート）で動くvdaemonサービスにあり、CVE-2026-20127と同じサービスである［12］。Rapid7は、CVE-2026-20127の修正を回避するものではないとした［12］。Ciscoはアドバイザリで、報告者としてRapid7の研究者2人に謝意を示した［3］。
Rapid7の技術解析では、CHALLENGE_ACKを処理するvbond_proc_challenge_ack()に、機器の種別2（vHub）を検証する分岐が無い［12］。任意の自己署名のクライアント証明書でDTLSに接続してvHubを名乗れば認証を回避でき、有効な資格情報もCA署名の証明書もSD-WANの構成の知識も要らない［12］。認証済みのピアになった攻撃者は、vmanage-adminユーザーのauthorized SSH keysのファイルに公開鍵を注入できる［12］。その後はvmanage-adminとしてNETCONF（TCPの830番ポートのSSH）にログインし、任意のNETCONFコマンドを発行できる［12］。
Ciscoは、同じ5月14日にCatalyst SD-WAN Managerの別の3件の脆弱性（CVE-2026-20209、CVE-2026-20210、CVE-2026-20224）のアドバイザリも公開した［4］。これらの悪用は把握していない［4］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Rapid7 | Ciscoに初めて連絡し、技術文書と攻撃コードを開示した | ［12］ |
| 2026年 | Cisco | 脆弱性を確認し、CVEを予約するとRapid7に伝えた | ［12］ |
| 2026年 | Cisco | 修正版の版番号を伝え、公開日を5月14日に移すようRapid7に求めた | ［12］ |
| 2026年 | Cisco | アドバイザリcisco-sa-sdwan-rpa2-v69WY2SWを16時（GMT）に公開し、サポート文書225842の初版を出した | ［2、3］ |
| 2026年 | Cisco Talos | 悪用の報告を公開した | ［1］ |
| 2026年 | Rapid7 | 技術的な詳細を公開した | ［12］ |
| 2026年 | CISA | KEV（悪用が確認された脆弱性）カタログに追加し、対応期限を5月17日とした | ［6］ |
| 2026年 | カナダのCyber Centre | Ciscoのアドバイザリを伝えるAV26-471を出した | ［9］ |
| 2026年 | カナダのCyber Centre | 警報AL26-012を出した | ［8］ |
| 2026年 | Cisco | サポート文書225842を版4.0に改め、20.9系から20.12系への更新の指針を加えた | ［2］ |
| 2026年 | JPCERT/CC | Weekly Reportで、CiscoがCVE-2026-20182の悪用を確認していると伝えた | ［10］ |
| 2026年 | Cisco | CVE-2026-20245のアドバイザリを公開し、CVE-2026-20182などとの連鎖で認証されていない攻撃者が権限を得るシナリオを示した | ［11］ |
| 2026年 | Cisco | CVEの説明を改め、対象にCatalyst SD-WAN Validator（旧SD-WAN vBond）を加えた | ［7］ |
| 2026年 | Mandiant | CVE-2026-20245のゼロデイの悪用の報告を公開した | ［13］ |
対象の製品と版
アドバイザリの版1.0では、影響は機器の設定にかかわらずCatalyst SD-WAN ControllerとManagerに及ぶ〔注1〕［3］。On-Prem Deployment、Cisco SD-WAN Cloud-Pro、Cisco SD-WAN Cloud (Cisco Managed)、Cisco SD-WAN for Government (FedRAMP)のすべての構成が対象になる［3］。
Ciscoはサポート文書225842で、すべてのSD-WAN ControllerとManagerが脆弱で、制御コンポーネントの全部を直ちに更新しなければならないと説明した［2］。すべての制御装置に侵害の証拠があるわけではない［2］。エッジルーターの更新は要らず、Cisco IOS XEの機器は影響を受けない［2］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Catalyst SD-WAN | 20.3、20.6、20.9 | 20.9.9.1 | ［2］ |
| Catalyst SD-WAN | 20.10、20.11、20.12.5以前の20.12 | 20.12.5.4〔注2〕 | ［2］ |
| Catalyst SD-WAN | 20.12.6.x | 20.12.6.2 | ［2］ |
| Catalyst SD-WAN | 20.12.7 | 20.12.7.1 | ［2］ |
| Catalyst SD-WAN | 20.13、20.14、20.15.4.3以前の20.15 | 20.15.4.4 | ［2］ |
| Catalyst SD-WAN | 20.15.5.x | 20.15.5.2 | ［2］ |
| Catalyst SD-WAN | 20.16、20.17、20.18.x | 20.18.2.2 | ［2］ |
| Catalyst SD-WAN | 26.1 | 26.1.1.1 | ［3］ |
| Cisco SD-WAN Cloud（Cisco Managed） | - | 20.15.506 | ［3］ |
サポート文書225842の版4.0によると、20.9系から20.12系へ更新する利用者は、不具合CSCwm99530を避けるため20.12.7.1を使うことが欠かせない［2］。アドバイザリは、20.9より前と20.11、20.13、20.14、20.16の各版がソフトウェアの保守の終了に達しているとした［3］。
クラウドで提供するCisco SD-WAN Cloud（Cisco Managed）では、利用者の対応は要らない［3］。Ciscoは、該当する利用者はすべて20.15.506に更新済みだと説明した［2］。Ciscoがホストする制御装置では、22番と830番のポートを初期の構築時から外部に対して遮断している［2］。
悪用の状況
Cisco Talosは、悪用の活動を高い確度でUAT-8616に分類した［1］。TalosはUAT-8616を、高度に洗練された脅威アクターと評価している［1］。UAT-8616は以前、Catalyst SD-WAN Controllerの類似の脆弱性CVE-2026-20127を悪用してSD-WANシステムに不正にアクセスした［1］。
Talosの報告では、UAT-8616はCVE-2026-20182の悪用の後、SSH鍵の追加、NETCONFの設定の変更、root権限への昇格を試みた［1］。悪用と侵害後の活動に使った基盤は、Talosが監視するORB（Operational Relay Box）のネットワークと重なる［1］。
アドバイザリによると、CiscoのPSIRTは5月にこの脆弱性の限定的な悪用を把握した［3］。Cyber Centreは、CVE-2026-20182に関わるインシデントを把握しているとした［8］。報告されたSSH鍵の追加などの試みにより、管理者のアクセス、永続化、SD-WANネットワークへの長期のアクセスが可能になった［8］。
Mandiantの報告では、サービスプロバイダーの被害組織で2025年末から翌年1月にSD-WAN Managerへの不正なピア接続が複数あった［13］。当時は未公表・未修正だったCVE-2026-20127かCVE-2026-20182の悪用で生じた可能性があるとした［13］。
Mandiantは、3月からの不正なピア接続がCVE-2026-20127の影響を受けない版の機器で起きたと報告した［13］。Ciscoは、これらの接続がCVE-2026-20182も使っていないと確認した［13］。Mandiantは、同じ機器の以前の侵害で盗まれた証明書の材料を使っていた可能性を挙げ、2つの時期の活動が同じ脅威アクターによるものかは分からないとした［13］。
Talosが報告した別の活動では、UAT-8616とは別の複数の脅威アクターが、CVE-2026-20133、CVE-2026-20128、CVE-2026-20122を3月から悪用している［1］。これらはCVE-2026-20182と別の、それより前の脆弱性で、Ciscoは2月に修正版とアドバイザリを公開した［1］。
JPCERT/CCは四半期レポートで、攻撃者が認証を回避して接続を確立したときの認証完了のログは、正規のピアと同じ形式で記録されると記した［11］。ログだけでは侵害の検知が難しい場合がある［11］。インターネットに露出した国内のホストの調査では、このサービスがSD-WAN機器間の制御接続に使うもので、Webの応答やバナーのような特徴的な応答が得にくい［11］。そのためスキャンサービスでは稼働状況を網羅的に捉えられず、JPCERT/CCはCiscoと協力して国内の利用状況を把握し、調査の結果を補った［11］。
JPCERT/CCが国内の組織の報告を受けて調査を支援した侵害では、4月の段階のログに、CVE-2026-20245が悪用された可能性を示す痕跡があった［11］。JPCERT/CCは、管理者アカウントの追加、作成した管理者権限での内部ネットワークのルーターのWeb UIへのログイン、設定変更の操作の痕跡も確認した［11］。
Rapid7は、20.12系の執筆時の最新版20.12.6.1の検証環境で、Metasploitのモジュールcisco_sdwan_vhub_auth_bypassを使って認証の回避とSSH公開鍵の注入を示した［12］。5月15日には、記事にモジュールへのリンクを加えた［12］。
アドバイザリの侵害の痕跡の節では、ログに記録された制御接続のピアリングは、すべて手動で正当性を確かめる必要がある［3］。特にvmanageのピアの種別に注意する［3］。SD-WANの基盤を侵害した攻撃者は、一見正常に見える不正なピア接続を張ることが多い［3］。痕跡は通常の運用でも生じうるので、誤検知を避けるには平常の状態と照らして評価する［3］。
Ciscoはサポート文書で、正当なvmanage-adminのログインはvManageに関係するIPアドレスからだけ来ると説明した［2］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 認証ログ | /var/log/auth.logの、未知・未許可のIPアドレスからの「Accepted publickey for vmanage-admin」の記録 | Cisco | ［3］ |
| 認証ログの照合 | auth.logのIPアドレスとManagerのWeb UIのSystem IP | Cisco | ［3］ |
| 制御接続の状態 | show control connections detailなどの出力の、state:upでchallenge-ackが無い接続 | Cisco | ［3］ |
| 制御接続の状態（Validator） | show orchestrator connections detailの出力 | Cisco | ［3］ |
| Snortのルール | SID 66482〜66483 | Cisco Talos | ［1］ |
修正と回避策
Ciscoがサポート文書225842で求めた対応の手順は、示された順に3段ある［2］。
- 更新の前に、すべての制御コンポーネント（vSmart、vManage、vBond）でadmin-techを取り、診断データを失わないようにする［2］。vSmartでは同時に実行せず1台ずつ取る［2］。
- 修正版に更新する［2］。TACの走査の結果を待たずに更新し、更新を最優先にする［2］。
- 重大度3のTACの案件を、題に「CVE-2026-20182」とPSIRTのIDを入れて開き、admin-techの走査を始めさせる［2］。
侵害の痕跡が見つからなくても、vManage、vSmart、vBondのすべてを修正版に更新する必要があるとCiscoは説明した［2］。一部だけの更新では足りない［2］。痕跡が見つかったときもCiscoは利用者に代わって修復はせず、TACが指針を示す［2］。利用者は、不具合CSCwt50498のBug Search Toolのページにある「Check Bug Applicability」でadmin-techを走査し直すこともできる［2］。
NVDのCVEの記録によると、CISAはKEVで、緊急指令（Emergency Directive）26-03とCisco SD-WAN機器のHunt & Hardening Guidanceに従って露出を評価し、リスクを緩和するよう求めた［6］。緩和策が無いときの対応は、製品の使用の中止である［6］。The Recordは、CVE-2026-20182が2月に国際的な警戒を招いた以前の攻撃活動に結び付いた脆弱性だと報じた［14］。
Cyber Centreは警報で、仮想スナップショットとログを含む痕跡の収集、SD-WAN技術の全面的な修正、CiscoのSD-WANの堅牢化ガイドの推奨の実施を勧めた［8］。
Security NEXTの記事によると、CISAは米行政機関に、2月に出した緊急指令ED 26-03を踏まえてリスク評価を行い、機器の把握、脆弱性の解消、侵害状況の調査に期限までに対応するよう求めた［15］。
未公表の事項
- 悪用の被害を受けた組織の数・地域・業種
- 悪用が始まった時期
- UAT-8616の国家・組織への帰属
- 攻撃元のIPアドレスなどの具体的な指標
- 悪用による個別の被害の内容
注
出典
当事者
- ［1］Cisco Systems, Inc.『Ongoing exploitation of Cisco Catalyst SD-WAN vulnerabilities』（2026年5月14日公開、2026年5月27日更新）
- ［2］Cisco Systems, Inc.『Remediate Catalyst SD-WAN Security Advisory - May 2026』（2026年5月14日公開、2026年5月18日更新）
- ［3］Cisco Systems, Inc.『Cisco Security Advisory: Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability』（2026年5月14日公開）
- ［4］Cisco Systems, Inc.『Cisco Security Advisory: Cisco Catalyst SD-WAN Manager Vulnerabilities』（2026年5月14日公開）
公的機関
- ［5］CVE Program『CVE-2026-20182』（2026年5月14日公開、2026年6月16日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-20182』（2026年5月14日公開、2026年10月26日更新）
- ［7］National Institute of Standards and Technology『CVE-2026-20182』（2026年5月14日公開、2026年10月26日更新）
- ［8］Canadian Centre for Cyber Security『AL26-012 - Critical vulnerability affecting Cisco Catalyst SD-WAN - CVE-2026-20182』（2026年5月15日公開）
- ［9］Canadian Centre for Cyber Security『Cisco security advisory (AV26-471)』（2026年5月14日公開）
- ［10］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Weekly Report 2026-05-20号』（2026年5月20日公開）
- ［11］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Quarterly Report April 1, 2026 to June 30, 2026』（2026年7月16日公開、PDF）
調査・観測
- ［12］Rapid7, Inc.『CVE-2026-20182: Critical authentication bypass in Cisco Catalyst SD-WAN Controller (FIXED)』（2026年5月14日公開、2026年5月15日更新）
- ［13］Google Cloud『Zero-Day Exploitation of Vulnerability (CVE-2026-20245) in Cisco Catalyst SD-WAN Manager』（2026年6月24日公開）
報道機関
- ［14］Recorded Future News『CISA orders all federal agencies to patch exploited bug in Cisco SD-WAN systems by Sunday』（2026年5月15日公開）
- ［15］ニュークリエイション『米当局、「Cisco SD-WAN」の脆弱性悪用で緊急対応を要請』（2026年5月15日公開）
更新記録
- 2026年5月15日：公開した。
- 2026年5月18日：Ciscoのサポート文書225842の版4.0（出典2）を加え、20.9系から20.12系への更新の指針を「対象の製品と版」に、改訂を「時系列」に加えた。
- 2026年5月20日：JPCERT/CCのWeekly Report（出典10）を加え、「時系列」を改めた。
- 2026年5月27日：Cisco Talosの報告（出典1）の5月27日の更新版で、「悪用の状況」の記述を改めた。
- 2026年6月16日：CVEの記録（出典5）とNVDの変更履歴（出典7）の6月16日の改訂を加え、Validatorを対象に加えたことを「時系列」と注に書いた。
- 2026年6月24日：Mandiantの報告（出典13）を加え、「悪用の状況」に不正なピア接続の記述を、「時系列」に報告の公開を加えた。
- 2026年7月16日：JPCERT/CCの四半期レポート（出典11）を加え、「悪用の状況」にログでの検知の難しさと国内の侵害の調査を、「時系列」にCVE-2026-20245のアドバイザリを加えた。
- 2026年10月26日：NVDのCVE-2026-20182の記録（出典6、7）の10月26日の更新を「出典」の行に反映した。