Cisco SD-WANゼロデイが新局面 UAT-8616の長期悪用とPoC公開でサイバー攻撃リスクが上昇(CVE-2026-20127)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月10日更新日時: 2026年03月10日

Cisco Talosは2026年2月25日、Cisco Catalyst SD-WANの認証バイパス脆弱性 CVE-2026-20127 が実際に悪用されており、その活動を UAT-8616 として追跡していると公表しました。Talosは、このゼロデイ悪用が少なくとも2023年までさかのぼる証拠を確認したとしており、Ciscoは本件をCVSS 10.0のCriticalと評価しています。影響を受けるのは、Cisco Catalyst SD-WAN Controller（旧vSmart）とManager（旧vManage）です。

その後、GitHub上には ZeroZenX Labs 名義で、この脆弱性に対する動作するPoCをうたう公開リポジトリが掲載されました。リポジトリのREADMEは、CVE-2026-20127をCisco SD-WAN ControllerとManagerに影響する critical pre-authentication flaw と説明しており、閲覧時点で18 stars、8 forksが付いていました。実運用中のゼロデイに対して公開PoCが出たことで、これまで高度な攻撃者に限られていた悪用が、より広い層へ波及する懸念が強まりました。

1 脆弱性の中身
2 UAT-8616は何をしていたのか
3 公開PoCでリスクが変わった理由
4 防御側は何を見るべきか
5 行政対応が示す緊急度
6 情報システム部門向け整理

脆弱性の中身

Ciscoのアドバイザリでは、この問題はSD-WANのピアリング認証メカニズムが適切に機能しないことに起因すると説明されています。細工したリクエストを送ることで、未認証のリモート攻撃者が認証を回避し、内部の高権限・非rootアカウントとしてCisco Catalyst SD-WAN Controllerにログインできる可能性があります。さらに、この権限でNETCONFへアクセスできるため、SD-WANファブリックのネットワーク設定を操作されるおそれがあります。

影響範囲はオンプレミスだけではありません。Ciscoは、オンプレミス導入に加え、Cisco Hosted SD-WAN Cloud、Cisco Managed環境、FedRAMP環境にも影響し得るとしています。しかも回避策はなく、修正済みリリースへの更新だけが恒久対策です。Ciscoの案内では、20.9系は20.9.8.2以降、20.10〜20.12系は20.12.5.3または20.12.6.1以降、20.13〜20.15系は20.15.4.2以降、20.16〜20.18系は20.18.2.1以降が推奨されています。

UAT-8616は何をしていたのか

Talosによると、UAT-8616はCVE-2026-20127の悪用後、後続の侵害活動まで含めて一貫した手口を見せています。特に重要なのは、攻撃者が不正なピア接続を確立し、通常の運用に見える形でSD-WAN基盤へ入り込む点です。Talosは、こうした不正な peer connection が高価値組織や重要インフラへの永続的足場の確保を狙う流れの一部だと評価しています。

さらにTalosは、インテリジェンスパートナーの調査として、攻撃者がソフトウェアを意図的に古い版へダウングレードし、CVE-2022-20775 を悪用してrootへ昇格し、その後に元のバージョンへ戻していた可能性を示しています。Talosが挙げる高精度の侵害兆候には、説明不能なpeerの追加や削除、rootの対話的ログイン、想定外のSSH鍵、極端に小さいログ、bash_historyやcli-historyの欠落、無断のダウングレードやアップグレードが含まれています。つまり本件は、単発の認証突破ではなく、長期潜伏を前提にしたネットワーク基盤侵害として見るべき事案です。

公開PoCでリスクが変わった理由

今回の転換点は、脆弱性の深刻さそのものより、悪用の再現性が広く共有されたことにあります。GitHub上のPoC公開リポジトリは、CVE-2026-20127 を使って rogue peer の追加、認証回避、管理権限取得、NETCONFへの到達、SD-WAN設定操作が可能だと説明しています。公式のCisco/Talos情報が示す脅威像と、公開リポジトリが掲げる攻撃目的が大筋で一致している以上、模倣攻撃の現実性は高いと見ざるを得ません。

このため、これまでUAT-8616のような高度な脅威アクターが主に使っていた手口が、今後はより低い技術力の攻撃者にも試される可能性があります。特にSD-WANは企業ネットワークの制御面そのものを担うため、侵害されると個別サーバー被害では済まず、拠点間通信、経路制御、管理プレーン全体に波及し得ます。PoC公開は、そのリスクを理論から実務へ引き下げた出来事です。

防御側は何を見るべきか

Talosは、初動で最も重視すべき痕跡として control connection の peering event を挙げています。特に vManage 系のpeeringは、時刻が保守時間帯と整合するか、public IPが自組織や認可済みパートナーのものか、peer-system-ip が想定したトポロジーに一致するか、peer type が環境設計と合っているかを手動で確認すべきだとしています。表面上は正常な接続に見えても、発生時刻や接続元、役割が不自然なら侵害の手掛かりになり得ます。

Cisco自身も、/var/log/auth.log にある vmanage-admin の Accepted publickey エントリを重点的に監査するよう案内しています。特に未知または不正なIPアドレスからの公開鍵認証があれば要注意です。また、侵害の有無判断にはTAC支援を推奨しており、調査前に各制御コンポーネントで request admin-tech を実行し、証跡を保全するよう求めています。パッチ適用だけ先に進めると、過去侵害の痕跡を取りこぼすおそれがあります。

行政対応が示す緊急度

本件の緊急度は、米CISAの対応からも読み取れます。CISAは2026年2月25日、Cisco SD-WAN systems を対象にハントとハードニングの指針を出し、Emergency Directive 26-03 に基づいて連邦文民機関へ対応を求めました。公開情報では、対象システムの棚卸し、フォレンジック用成果物の収集、外部保管ログの確保、更新適用と侵害調査が要求事項として示されています。CISAのKEVカタログにもCVE-2026-20127は掲載されています。

これは、単なるベンダー警告ではなく、政府レベルで即時対応が必要と判断された案件だということです。Cisco SD-WANを使う企業にとっても、管理プレーンがインターネットへ露出している環境は、すでに探索・悪用対象になっている前提で見直すべき局面に入っています。

情報システム部門向け整理

情シス部門が優先すべき順番は明確です。第一に、ControllerとManagerの設置状況とバージョンを即時棚卸しし、修正版へ更新することです。第二に、更新前にスナップショット、admin-tech、off-systemログを確保し、過去侵害の痕跡を追える状態を作ることです。第三に、peering event、auth.log、SSH鍵、rootログイン、ダウングレード履歴を中心にハントを行うことです。第四に、管理インターフェースをインターネットから切り離し、Ciscoのハードニングガイドに沿って露出を最小化することです。

出典

Active exploitation of Cisco Catalyst SD-WAN by UAT-8616