思科警告称，未修补的SD-WAN零日漏洞可能在攻击中被利用

Rhinoer
Rhinoer

犀牛安全

2026年6月12日 00:00
北京

在小说阅读器读本章

去阅读

最近，思科发出警告，思科 Catalyst SD-WAN 管理器中存在一个高危、未修补的零日漏洞（追踪编号为CVE-2026-20245），该漏洞已被积极用于攻击，从而实现 root 权限提升。

该零日漏洞会影响所有部署类型，包括本地部署、Cisco SD-WAN Cloud-Pro、Cisco SD-WAN Cloud（Cisco Managed）和 Cisco SD-WAN for Government（FedRAMP）。

思科在上周四发布的一份公告中表示，该问题源于对用户提供的输入验证不足，这可能允许权限较低的本地攻击者以 root 身份执行任意命令。

该公司解释说：攻击者可以通过向受影响系统上传精心构造的文件来利用此漏洞。成功利用此漏洞后，攻击者可以对受影响的系统执行命令注入攻击，并将其权限提升为 root 用户。

要利用此漏洞，攻击者必须拥有受影响系统的网络管理员权限。这需要有效的凭据，或者利用 CVE-2026-20182 或 CVE-2026-20127 漏洞。思科目前尚未发现其他利用此漏洞成功实施的案例。”思科补充道，“思科目前尚未发现其他利用此漏洞成功实施的案例。思科观察到少数案例，利用此漏洞导致配置更改被推送至边缘设备。

该网络管理软件以前称为 SD-WAN vManage，它可以帮助管理员从单个控制面板监控和管理多达 6,000 台 Catalyst SD-WAN 设备。

思科产品安全事件响应团队 (PSIRT) 在 6 月份得知了 CVE-2026-20245 漏洞的利用情况，此前谷歌云网络安全子公司 Mandiant 报告了该漏洞，但没有分享任何细节。

但是，它共享了入侵指标 (IOC)，警告管理员检查其 SD-WAN /var/log/scripts.log 文件，以查找尝试将租户配置数据上传到 vSmart 控制器以通过合法命令提升权限的行为，如下例所示：

如需帮助确定 Cisco Catalyst SD-WAN 管理器是否已被入侵，客户可以向 Cisco TAC 开具案例，”该公司补充道，并建议管理员首先收集管理技术文件以帮助进行审查。

安全补丁尚未发布

上个月，思科还将Catalyst SD-WAN 控制器身份验证绕过漏洞（CVE-2026-20182）标记为最高严重级别，该漏洞已被积极利用为零日漏洞，以获取未打补丁设备上的管理权限。

虽然思科尚未发布针对 CVE-2026-20245 的补丁，但它建议客户升级到 5 月 14 日修复了 CVE-2026-20182 的软件。

今年 2 月，思科修复了 Catalyst SD-WAN Manager 的另一个信息泄露安全漏洞 (CVE-2026-20133)，CISA 在 4 月下旬将其标记为正在被积极利用。两周后，思科警告称，另外两个漏洞 (CVE-2026-20128 和 CVE-2026-20122)正在被滥用。

今年 3 月，它还指出并标记了一个严重的身份验证绕过漏洞 (CVE-2026-20127)，该漏洞至少从 2023 年起就被用于零日攻击。

过去几年，CISA 已将90 个 Cisco 漏洞标记为在实际应用中被滥用，其中 4 个漏洞存在于 Cisco Catalyst SD-WAN Manager 中，另外 6 个漏洞被勒索软件利用。

信息来源：BleepingComputer