Ciscoが、Catalyst SD-WAN Controller にある重大な脆弱性 CVE-2026-20182 について警告を出しました。
ざっくり言うと、本来なら通れないはずの“本人確認”をすり抜けられる穴が見つかった、という話です。
しかも厄介なのは、これがゼロデイ攻撃で実際に悪用されていた点です。
ゼロデイというのは、「修正パッチが出る前に攻撃されること」を指します。防御側が“穴の存在に気づいた頃には、もう攻撃が始まっていた”という、かなり嫌なパターンです。
Ciscoによると、この脆弱性を使うと、攻撃者は対象機器に内部の高権限ユーザーとしてログインできる可能性があります。
さらにそのアカウントから NETCONF にアクセスでき、SD-WANのネットワーク設定を操作されるおそれがある、とのことです。
NETCONFは、ネットワーク機器の設定を自動でいじるための仕組みです。便利な反面、ここを握られると攻撃者にとってはかなり都合がいい。
個人的には、こういう「管理系の入口」が突破される脆弱性は、単なる1台の侵害では終わらず、ネットワーク全体の支配につながりやすいのが本当に怖いと思います。
Ciscoが影響を受けると案内しているのは次の製品です。
SD-WANは、支社・データセンター・クラウドをまとめてつなぐための仕組みです。
中央から管理できて便利なのですが、逆にいえば中央の管理装置を取られると痛い。ここが今回のポイントです。
Ciscoの説明では、問題はpeering authentication mechanism が正しく動作していないことにあります。
peering は、ざっくり言えば「この機器は仲間です」と相互に認識しあう仕組みです。これが崩れると、攻撃者が正規の仲間のふりをして入り込めてしまいます。
悪意あるリクエストを送ることで、攻撃者は次のようなことを狙える可能性があります。
この「rogue peer を作れる」というのがかなり印象的です。
外からただ覗くのではなく、**“正規メンバーの顔をした不審者”をネットワークに入れ込める**わけで、これはじわじわ効くタイプの侵害です。派手な一撃より、こちらのほうが後で被害が大きくなりやすいと思います。
Ciscoは、この脆弱性が2026年5月に悪用されているのを検知したとしています。
ただし、どういう攻撃手法だったのかについては詳細を明かしていません。
代わりに、管理者に対してはログの確認を強く勧めています。特に注目すべきなのは以下です。
vmanage-admin への不審なログインたとえば、/var/log/auth.log に以下のような記録があるか確認するよう案内されています。
Accepted publickey for vmanage-admin from ...
そして、ログに出てくるIPアドレスが、Cisco Catalyst SD-WAN Manager のWeb UI にある System IP と一致するかを確認します。
知らないIPから認証に成功していたら、Ciscoは侵害済みとみなして Cisco TAC に連絡するべきとしています。
この脆弱性は、Rapid7 が別の Cisco SD-WAN Controller の問題を調べている途中で見つけたものです。
その別件は CVE-2026-20127 で、今年2月に修正済みでした。
しかもその古い脆弱性も、UAT-8616 と呼ばれる脅威グループによって、2023年からゼロデイ攻撃に使われていたそうです。
つまり今回の件は、Cisco SD-WAN を狙う攻撃者が継続的に弱点を探していることを示しているように見えます。これはかなり嫌な流れです。
Ciscoは、修正版へのアップデートが唯一の完全な対策だと明言しています。
回避策はあるものの、完全には防げないとのことです。
あわせて、次の対策も推奨されています。
要するに、外から誰でも触れる状態にしないのが大事です。
これは基本中の基本ですが、ネットワーク製品の管理画面や制御系がインターネットに露出していると、こういう話は一気に現実味を帯びます。便利さと危険さは、ほんと紙一重ですね。
米国のCISAは、この脆弱性を Known Exploited Vulnerabilities Catalog に追加しました。
これは「もう実際に悪用されているので、放置しないでください」という意味合いが強いリストです。
さらにCISAは、連邦機関に対して 2026年5月17日までに修正せよ と指示しています。
公的機関レベルで締め切りが設定されるくらいなので、今回の問題がかなり深刻だというのは間違いないでしょう。
このニュースで気になるのは、単に「脆弱性が見つかった」では終わらず、すでに攻撃に使われていたことです。
しかも対象がネットワークの中枢を担うSD-WAN Controllerなので、影響は単体サーバーの話にとどまりません。
個人的には、こういう脆弱性は「修正すれば終わり」ではなく、
“既に侵入されていた前提での確認” が重要だと思います。
つまり、
この流れをちゃんとやるべきです。
ネットワーク機器は“動いているから安心”と思いがちですが、実際には静かに侵されていることがある。そこが本当に厄介です。
Cisco Catalyst SD-WAN に、認証回避の重大な穴 CVE-2026-20182 が見つかり、しかもゼロデイで悪用されていました。
SD-WANは企業ネットワークの要なので、ここがやられると被害は広がりやすいです。
もし対象製品を使っているなら、まずは修正版への更新、次にログ確認、そして管理面のアクセス制限。
この3つを急ぐのが現実的な対応だと思います。
参考: Cisco warns of new critical SD-WAN flaw exploited in zero-day attacks