Five Eyes（米英加豪NZ）のサイバーセキュリティ当局が連携し、Cisco Catalyst SD-WANの重大な脆弱性が実際に悪用されているとして、緊急対応（パッチ適用と侵害調査の優先）を呼びかけました。共同アドバイザリでは、攻撃者がSD-WAN環境を標的にし、認証バイパス脆弱性CVE-2026-20127の悪用後に不正なピアを追加し、最終的にroot権限の獲得と長期潜伏に至る流れが示されています。
この動きは民間側でも確認されており、Cisco TalosはCVE-2026-20127の悪用と、その後の侵害後活動をUAT-8616として追跡していると公表しました。
また、米CISAはCVE-2026-20127をKEV（悪用確認済み脆弱性）に掲載しており、実害が観測されている脆弱性として扱っています。
概要
CVE-2026-20127は、Cisco Catalyst SD-WANの中枢であるController（旧vSmart）やManager（旧vManage）といった制御系コンポーネントを狙います。
NVDの説明でも、攻撃者は認証を迂回して管理権限を得られる可能性があるとされ、制御プレーンが突破されるとネットワーク全体の設定・通信制御に波及し得ます。
共同アドバイザリでも、侵害後に不正ピア追加→root取得→長期潜伏というシナリオが明記されており、単体機器の乗っ取りではなく、ネットワーク制御基盤そのものの信頼性が崩れる可能性があります。
また、Talosは、攻撃者がソフトウェアのバージョンダウングレードを行った後にCVE-2022-20775を悪用し、root権限へ到達した可能性を示しています。
対策バージョン
Ciscoは修正済みソフトウェアへのアップグレードを推奨しており、修正された最初のリリース（First Fixed Release）は系統ごとに示されています。
具体的には、20.9系は20.9.8.2、20.12系は20.12.5.3または20.12.6.1（どの20.12マイナーを使っているかで分岐）、20.13/20.14/20.15系は20.15.4.2、20.16/20.18系は20.18.2.1が修正済みとして提示されています。20.9より前のリリースは修正済みリリースへ移行する必要があり、さらに表中に注記のある一部リリース（20.11、20.13、20.14、20.16など）はソフトウェアメンテナンス終了のため、サポートされるリリースへ上げることが強く推奨されています。
関連記事
TP-Link OmadaゲートウェイにOSコマンドインジェクション脆弱性（CVE-2025-6541／6542）
Cisco IOS／IOS XE の SNMPに脆弱性(CVE-2025-20352)
Cisco、IOS XE Wireless LANコントローラーの重大脆弱性に対するセキュリティアップデートを公開
Cisco、IOS XE Wireless LANコントローラーの脆弱性に対する詳細解説が公開(CVE-2025-20188)
Cisco URWBで重大な脆弱性 (CVE-2024-20418)
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
シスコ製メールセキュリティ製品を狙うサイバー攻撃-独自バックドア「AquaShell」を確認
PostgreSQLのpsqlで重大度の高い脆弱性(CVE-2025-1094)
PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003)
