概要

Ciscoは、Cisco Catalyst SD-WAN Controller（旧vSmart）とCatalyst SD-WAN Manager（旧vManage）に存在する最大深刻度のセキュリティ脆弱性が2023年から悪用されていることを発表しました。この脆弱性はCVE-2026-20127としてトラッキングされており、CVSSスコアは10.0です。

脆弱性の詳細

CVE-2026-20127は、認証なしのリモート攻撃者が特製の要求を送ることで、影響を受けたシステム上の管理者権限を取得する可能性があるとされています。これにより、攻撃者は内部の高権限ユーザーとしてアクセスすることが可能となります。

影響範囲

Ciscoはこの脆弱性が以下のデプロイメントタイプに影響を与えると述べています：

• オンプレミス展開
• CiscoホストSD-WANクラウド
• Cisco管理されたCiscoホストSD-WANクラウド – FedRAMP環境

対策とアップデート情報

Ciscoは、影響を受けたシステムのユーザーが最新版に移行することを推奨しています。具体的なバージョンアップデート情報は以下の通りです：

• Version 20.9 – 20.9.8.2 (2月27日発行予定)
• Version 20.111 – 20.12.6.1
• Version 20.12.5 – 20.12.5.3
• Version 20.12.6 – 20.12.6.1
• Version 20.131 – 20.15.4.2
• Version 20.141 – 20.15.4.2
• Version 20.15 – 20.15.4.2
• Version 20.161 – 20.18.2.1
• Version 20.18 – 20.18.2.1

CISAによる対応

CISAは、この脆弱性とCVE-2022-20775を「既知の悪用されている脆弱性（KEV）」リストに追加し、連邦民事執行機関（FCEB）が修正を適用するよう要請しています。また、CISAは緊急指令26-03：Cisco SD-WANシステムにおける脆弱性の軽減を発行しました。

今後の対応

CISAは連邦機関に対して、以下の期限までに必要な措置を講じることを求めています：

• 2月26日午後11時59分までにSD-WANデバイスのカタログを作成する。
• 3月5日午後11時59分までに詳細なインベントリと対策を提出する。
• 3月26日午後11時59分までに環境強化の一連のステップをリストアップする。

---

元記事: https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html