Cisco SD-WAN CVE-2026-20245、対象は3製品 攻撃の全容も判明

企業のネットワーク全体を1か所からまとめて管理する司令塔のような製品に、すでに実際の攻撃に使われていることが確認された欠陥（情報セキュリティ上の弱点）が見つかりました。対象はCisco Catalyst SD-WAN Manager（旧称vManage）。各地の拠点に置かれた通信機器の設定を一括で配る「管理サーバ」で、企業や官公庁の広域ネットワークの中枢にあたります。今回の弱点は共通の管理番号CVE-2026-20245として整理されました。

Cisco自身が「2026年6月にこの欠陥が悪用されていることを把握した」と公表し、しかも攻撃によって配下の機器へ不正な設定変更が流し込まれた事例を観測したと認めています。米国土安全保障省のCISAも本件を「実際に攻撃されている脆弱性リスト（KEV）」に登録しました。危険度の指標は10点満点中7.8。攻撃には管理権限が必要という条件が付きますが、後述するとおり別の欠陥と組み合わせて権限を奪う攻撃の「最後の一段」として使われる点が問題です。

Ciscoは修正版を公開済みで、回避策（設定変更などでしのぐ手段）はありません。つまり対処は更新一択です。ただし上げ先はバージョンの系統（リリース列車）ごとに分かれており、20.18.3.1だけではありません。また対象製品も Manager だけでなく、Controller（旧vSmart）と Validator（旧vBond）を含みます。この記事では、Cisco SD-WAN Managerとは何をする製品なのか、今回の欠陥で何が起きるのか、どのバージョンが対象で何を直せばいいのか、そしてなぜネットワークの司令塔が狙われるのかを、専門知識がなくてもわかるように整理します。

【2026年8月17日追記】その後わかったこと

初出から2か月が経ちました。この間にMandiant（Google Cloud）が攻撃の詳細レポートを公開し、Ciscoのアドバイザリも7月に2回改訂されました。あわせて、公開時の本文で正確でなかった3点（対象製品の範囲、修正版の一覧、KEVへの登録日）も書き直しています。

訂正1: 対象は Manager だけではありませんでした

公開時の本文は Cisco Catalyst SD-WAN Manager（旧vManage）だけを対象として書いていましたが、範囲が狭すぎました。CVEレコードの正式名称は "Cisco Catalyst SD-WAN Controller Authenticated Privilege Escalation Vulnerability" で、Controller（旧vSmart）・Manager（旧vManage）・Validator（旧vBond）の3種類が対象です。Controller は各拠点の機器へ通信経路の方針を配る役、Validator は機器同士が初めてつながるときに相手が正規のものかを確かめる役（身元確認の窓口）を担います。Manager だけ更新して安心すると、残り2種類が対象のまま残ります。

訂正2: 「最高権限奪取」には前提条件があります

見出しの「最高権限奪取」という言い方が、認証なしで遠隔から乗っ取られる欠陥だという誤解を招きかねないため、条件を正確に書き直します。危険度は 7.8（High）、内訳は CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。先頭の AV:L は攻撃経路が「ローカル」、つまり装置にすでにログインした状態からの操作であることを、PR:L は「あらかじめ何らかの権限が必要」であることを示します。実際には netadmin（ネットワーク管理者）の権限が前提で、この欠陥だけでインターネット越しに乗っ取られるわけではありません。現実の攻撃では、Cisco自身が明記しているとおり CVE-2026-20182 と CVE-2026-20127 を先に使って netadmin を手に入れ、その次の一段としてこの欠陥が使われています。怖いのは単体の性能ではなく、この連鎖です。

訂正3: KEVへの登録日は2026年6月9日です

本文と時系列で「6月10日にKEV登録」と書いていましたが、CISAの一次データ（KEVカタログ）での登録日は2026年6月9日です。米国の政府機関に課される是正期限（dueDate）は2026年6月23日、身代金要求型ウイルスとの関連は「Unknown（不明）」、欠陥の分類はCWE-116（出力のエスケープ処理の不備）として登録されています。一部の二次記事が「6月4日登録」と書いていますが、6月4日はCiscoアドバイザリ初版が出た日で、KEV登録日ではありません。KEV一覧の日本語版でも確認できます。

Mandiantが公開した攻撃の全体像

2026年6月25日、Mandiant / Google Cloud が調査レポートを公開し、この欠陥が実際にどう使われたのかが時系列で明らかになりました。侵入は一日で終わる話ではなく、半年以上をかけて進んでいます。

手口の中身も公表されました。攻撃者は悪性のCSVファイル evil_tenant.csv をアップロードして root（システムの最高権限）を取り、その後 UID 0 の隠しアカウント troot を作成しています。UID 0 とは Unix系OSで root と同じ扱いを受ける番号のことで、名前だけ変えた第2の管理者を作られた、と考えると近いです。この欠陥を見つけて報告したのは Mandiant の Chester Sng・Pete Boonyakarn・Logeswaran Nadarajan の各氏で、攻撃者にUNC番号などの呼び名は付けられておらず、どの集団によるものかは未帰属のままです。Cisco PSIRT 側の記述は「2026年6月に悪用を認知」で、配下のエッジ機器へ構成変更がプッシュされた限定的な事例も確認されています。

自分の環境を点検するための痕跡（IOC）

レポートには、運用者が自分の環境を照合できる形で痕跡（IOC＝侵害の指標。攻撃を受けたときに残るファイル名やIPアドレスなどの手がかり）が示されています。下の値が自分の装置やログに出ていないかを確認してください。

Mandiantが公開したIPアドレスは全部で8件あり、そのうち本脆弱性の悪用に実際に使われたのは 126.51.108[.]152 です。残り7件は関連する活動としてレポート本文に列挙されています。表記の角括弧（[.]）は、うっかりクリックして接続しないための無害化表記です。照合するときは括弧を外して読んでください。なお、痕跡は消されている前提で臨む必要があります。攻撃者は最後に抗フォレンジックを行っているため、ログに何も出ていないことが安全の証明にはなりません。

アドバイザリは Version 1.10 / Final に。「Live Protect shield」も提供

Ciscoのアドバイザリは、6月4日の初版（Version 1.0）から7月に2回改訂され、現在は Version 1.10 / 2026年7月21日付 / ステータス Final です。改訂の中身は次のとおりです。

• Version 1.9（2026年7月15日） ― 本脆弱性向けの「Live Protect shield」の提供開始が追記されました。装置を再起動せずに当てられる一時的な防御で、アップグレード計画を立てるまでの時間を稼ぐための暫定措置として提供されるものです。恒久的な対処は修正版への更新であり、これで置き換えられるものではありません
• Version 1.10（2026年7月21日） ― Fixed Releases の表に「20.18.2.2 and earlier」の行が追加されました。上げ先の整理が変わっているため、6月に読んだきりの方は表を見直す必要があります

ステータスが Final になったということは、Cisco側ではこの案件を追加調査の対象から外した、という意味です。実際、2026年7月以降に新規の悪用や被害の報道は確認されていません。身代金要求型ウイルス（ランサムウェア）との関連も確認されていません。PoC相当（攻撃を再現する実証コード）とされるGitHubのリポジトリは3件見つかりますが、いずれも6月に作られたもので、実際に動作するかどうかの検証はされていません。

国内の公的機関はいまも沈黙しています

日本国内に目を向けると、状況はほとんど動いていません。2026年8月17日時点で、JVNおよびJVN iPediaに本件の登録はなく、JPCERT/CCの注意喚起も出ておらず、Weekly Report でも言及がありません。IPAの「重要なセキュリティ情報」にも掲載されていません。日本語の報道はSecurity NEXT の記事（2026年6月5日）1本のみで、それも公開直後に書かれたものであるため「修正版は今後のリリースで提供される」という趣旨の記述になっており、修正版が出そろった現状とは食い違っています。すでにKEV登録済みで、Mandiantによる実攻撃の詳細まで出ている欠陥にもかかわらず、国内の運用者が日本語で正確な現状にたどり着ける情報源はほぼない、というのが実態です。国内で注意喚起が出ていないことは、危険が小さいことを意味しません。

どのバージョンが対象で、どう更新すればいいのか

【2026年8月17日 訂正】公開時のこの節は「対象は Manager の 20.18.2.1 以前、修正版は 20.18.3.1」とだけ書いていましたが、正確ではありませんでした。対象は Controller（旧vSmart）・Manager（旧vManage）・Validator（旧vBond）の3種類で、修正版もリリース列車（バージョンの系統）ごとに分かれています。Ciscoアドバイザリ（Version 1.10 / 2026年7月21日 / Final）の Fixed Releases にもとづく最新の一覧が下の表です。Ciscoは設定変更などでしのぐ回避策は提供しておらず、恒久的な対処は更新のみです。すでに悪用が観測されている以上、対象バージョンを使っている組織は優先的に更新を進める必要があります。

列車ごとに上げ先が違うため、「20.18.3.1に上げれば全部済む」わけではありません。20.9 系を使っている装置に 20.18.3.1 を当てるという話ではなく、自分が乗っている枝に対応する版へ上げるのが正しい読み方です。判断の正本はあくまでアドバイザリの Fixed Releases 表なので、更新前に必ず現物を確認してください。すぐに更新できない事情がある場合、Ciscoは2026年7月15日の改訂で Live Protect shield の提供を案内しています。ただしこれはアップグレード計画を立てるまでの一時的な防御であり、修正版の代わりにはなりません。

なお今回の欠陥は、攻撃の成立に「ネットワーク管理者（netadmin）」の権限が必要という条件が付きます。一見ハードルが高そうに見えますが、Ciscoは同時期に、ログインを突破して権限を得るための別の欠陥（CVE-2026-20182・CVE-2026-20127）も公表しています。攻撃者はそれらと組み合わせて権限を手に入れ、最後に今回のCVE-2026-20245でroot（システムの最高権限）まで一気に引き上げる、という流れを取れます。そのため、関連する更新もあわせて適用することが重要です。

Cisco SD-WAN Managerとは何をする製品で、何が起きるのか

Cisco Catalyst SD-WAN Manager（旧vManage）は、企業や官公庁が全国・世界中に持つ拠点のネットワークを、1つの画面からまとめて管理するための製品です。本社・支店・店舗・工場などに置かれた通信機器（ルーターなど）に対して、設定やセキュリティの方針を中央から一括で配る司令塔の役割を担います。役割の性質上、この管理サーバを押さえられると、その組織のネットワーク全体に手が届くことになります。

今回の欠陥は、この製品のコマンド入力部分（CLI）にあります。NVD（米国の脆弱性データベース）とCiscoの説明によれば、入力された内容のチェックが不十分なため、攻撃者が細工したファイルを送り込むと、その中身がシステムの命令として実行されてしまうたぐいの不具合（OSコマンドインジェクション）です。成立すると、攻撃者は管理サーバ上でroot（最高権限）として任意の命令を実行できます。分類上は権限昇格（手にした権限をさらに上へ引き上げる攻撃）で、危険度は7.8。最高権限を取られれば、設定の改ざんも、別の仕掛けの埋め込みも自由になります。

【2026年8月17日 補足】ここで条件を正確にしておきます。CVSSの内訳は CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H で、攻撃経路は AV:L（ローカル）、必要な権限は PR:L です。つまり「装置にすでにログインしている状態から、自分の権限をrootまで引き上げる」性質の欠陥であり、これ単体で、認証のないままインターネット越しに乗っ取られるものではありません。危険度が7.8にとどまり9点台にならないのは、この前提があるためです。

先に触れたとおり、攻撃にはネットワーク管理者の権限が必要です。ただし「正規の管理者しか悪用できない」と安心はできません。盗まれた管理者の認証情報が使われることもあれば、Ciscoが同時に公表した別の欠陥を踏み台に権限を得てから、最後にこの欠陥でrootへ到達することもできます。実際の攻撃でも、Cisco自身が明記しているとおり CVE-2026-20182 / CVE-2026-20127 で netadmin を得たうえで、この欠陥へつないでいたことが確認されています。Mandiantのレポートでは、2026年3月にSSHで入って管理者パスワードを変え、翌4月にこの欠陥で権限を上げる、という流れが記録されています。

この司令塔を、どんな人が、何のために狙うのか

「社内のネットワーク機器の話で、自分には関係ない」と感じるかもしれません。けれど、SD-WAN Managerが束ねているのは、その組織で働く全員の通信です。メールも、業務システムへのアクセスも、拠点間のやり取りも、すべてこの司令塔が方針を配る機器の上を流れています。だからこそ攻撃者にとって、ここは1か所を取れば組織のネットワーク全体に号令をかけられる、破格に効率のいい標的に映ります。すでに悪用が観測されているという事実は、その価値を狙う者が現に動いていることを意味します。

狙ってくるのは抽象的な「ハッカー」ではありません。具体的には、通信網に長期間ひそんで情報を抜き取りたい国家支援のスパイ集団、社内に居座ってデータを暗号化し身代金を要求するランサムウェアの一味、企業ネットワークへの侵入経路を盗んで裏で売りさばく初期アクセス業者です。ネットワーク機器やその管理製品は、まさにこうした集団が近年もっとも力を入れて狙っている入り口です。彼らが欲しがるのは、拠点をまたいで流れる通信の中身と、ネットワークの動きを思いどおりに変える権限そのものです。今回のCVE-2026-20245で管理サーバのrootを握られた瞬間、組織の通信網を内側から操る指揮権が、そのまま相手の手に渡ります。

恐ろしいのは、被害が管理サーバ1台では終わらない点です。Cisco自身が観測したとおり、攻撃者はこの司令塔から配下のエッジ機器へ不正な設定変更を流し込めます。これは、通信を攻撃者のサーバへこっそり迂回させる、特定の拠点を切り離す、監視や防御の設定をひそかに緩める、といった操作が拠点をまたいで一斉にできることを意味します。中央を取られると、末端まで連鎖して汚染される——それがネットワークの司令塔を狙う攻撃の本質です。

そして、止まった通信と漏れた情報の後始末を背負うのは、その装置を運用する情報システム・ネットワーク部門と、その組織の利用者です。拠点間通信の停止や遅延、機密のやり取りの盗み見、不正な設定が全拠点に広がったことの調査と復旧、取引先や監督官庁への説明——危険度7.8という数字は技術的な目安にすぎず、この司令塔を奪われたときに組織が現実に失うものは、これだけ広く、深く尾を引きます。修正版が出ているいま当てられるかどうかが、踏まれる側になるかどうかの分かれ目です。

すでに悪用されている。観測された実害と、繰り返される構図

今回の件で重いのは、「理論上危ない」ではなく「すでに使われている」段階だという点です。Cisco PSIRT（同社のセキュリティ対応チーム）は2026年6月に悪用を把握し、限定的ながら、攻撃によってエッジ機器へ設定変更が流し込まれた事例を観測したと公表しています。欠陥を見つけて報告したのは、Google傘下のセキュリティ企業Mandiantの研究者（Chester Sng、Pete Boonyakarn、Logeswaran Nadarajanの各氏）です。標的型攻撃を数多く追ってきたMandiantが関わっている点も、本件が高度な攻撃者の関心を引いていることをうかがわせます。

ネットワーク機器とその管理製品が狙われるのは、今回に限った話ではありません。VPNや管理サーバのような「組織の境界」に置かれる装置は、ここ数年、攻撃者にとって最優先の標的であり続けています。本サイトでも、同じ境界製品であるIvanti Sentryの乗っ取り欠陥や、Cisco FMCの緊急CVEを取り上げてきました。中央の管理装置を1つ取れば全体に届く、という構図がある限り、この種の攻撃は繰り返されます。だからこそ、悪用が観測された欠陥は、出た更新を速やかに当てることが何より効きます。

公開から対応までの流れ

CVE-2026-20245が公表され、悪用の把握と修正版の提供に至るまでの流れを時系列で整理します。2026年8月17日の更新で、Mandiantが明らかにした公表前の侵入（2025年後半から2026年4月まで）と、7月のアドバイザリ改訂2回を追加し、KEV登録日を6月9日に訂正しました。

← スワイプで移動

いまの危険度をどう見るか

冷静に整理すると、攻撃には管理者権限が必要で、被害は現時点で「限定的」とされています。一方で、すでに悪用が観測されていて・成功すれば最高権限を奪われ・配下の機器まで操作され得て・回避策がないという条件は、放置のリスクが極めて大きいことを意味します。しかも修正版はもう出ています。悪用が広まってから慌てるより、いま更新してしまうのが最も確実です。

いま何をすればいいのか

Cisco Catalyst SD-WAN Managerを運用している場合にやるべきことは、更新を中心に次のとおりです。

• Manager（旧vManage）だけでなく、Controller（旧vSmart）と Validator（旧vBond）も対象に含めて棚卸しする
• 使っているリリース列車を確認し、上の早見表にある対応版（20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2）へできるだけ早く更新する
• すぐに更新できない場合は Live Protect shield の適用を検討する。ただしこれは暫定の時間稼ぎで、更新の代わりにはならない
• 権限を得る経路として悪用され得る関連の欠陥（CVE-2026-20182・CVE-2026-20127）の修正もあわせて適用する
• 管理者（netadmin）アカウントの棚卸しを行い、不要な権限の整理と認証情報の見直し（パスワード変更・多要素認証）を進める
• ローカル利用者一覧に troot のような身に覚えのない UID 0 アカウントがないか、vmanage-admin による想定外のSSHログインがないかを確認する
• アップロード履歴に evil_tenant.csv（SHA256 b82936f37648518425c7d3cf9e09eaffa41d7cdb3840f6a40287e3a108880f7b）がないか、通信記録に 126.51.108[.]152 との接続がないかを照合する
• すでに悪用が観測されているため、身に覚えのない設定変更がエッジ機器へ配られていないか、設定の履歴と変更記録を点検する
• 管理画面（管理サーバ）への接続元を必要な範囲に絞り、インターネットや不要なネットワークから直接届かないように制限する

特に、すでに悪用が観測されている以上、対象バージョンの放置は避けてください。今回は回避策が用意されていないため、「あとで」と先延ばしにするほど、権限を奪われ配下の機器まで操作されるリスクが積み上がります。侵入の痕跡が見つかった場合は、更新だけで終わらせず、配られた設定の確認と認証情報の入れ替えまでセットで行うのが安全です。

よくある質問

まとめ

CVE-2026-20245は、企業ネットワークの司令塔であるCisco Catalyst SD-WAN の Controller（旧vSmart）・Manager（旧vManage）・Validator（旧vBond）に見つかった、すでに悪用が確認されている欠陥です。コマンド入力部分の検証不備により、ネットワーク管理者の権限を持つ攻撃者がrootで命令を実行でき、Ciscoは配下のエッジ機器へ不正な設定変更が流し込まれた事例を観測したと公表しています。危険度は7.8で、攻撃経路はローカル（AV:L）、netadmin権限が前提です。修正版はリリース列車ごとに 20.9.9.2 / 20.12.7.2 / 20.15.4.5 / 20.15.5.3 / 20.18.3.1 / 26.1.1.2 に分かれており、回避策はありません。

攻撃に管理者権限が要る点はハードルですが、盗まれた認証情報や、Ciscoが同時に公表した別の欠陥との組み合わせで、その条件は乗り越えられます。米CISAも2026年6月9日にKEVへ登録しており、悪用はすでに現実のものです。Cisco SD-WANの管理系を運用している組織は、関連する更新も含めて速やかに自分の列車に対応する版へ上げ、Mandiantが公開した痕跡と照らして不審な設定変更や侵入の跡がないかをあわせて点検してください。組織の通信網の指揮権を預けている装置だからこそ、後回しにするには重すぎる一件でございます。

アドバイザリのステータスは2026年7月21日付でFinalとなり、それ以降の新規悪用は確認されていません。一方で日本国内の公的な注意喚起はいまもゼロのままです。日本語で追いかけられる情報が乏しい案件ほど、更新の判断が遅れます。列車ごとに分かれた上げ先を、いま一度自分の環境と突き合わせておくのが確実です。

更新履歴

参照元

• ▸Cisco Security Advisory - Catalyst SD-WAN Manager Authenticated Privilege Escalation（CVE-2026-20245）（Version 1.10 / 2026年7月21日 / Final）
• ▸Mandiant / Google Cloud - Zero-Day Exploitation of Cisco Catalyst SD-WAN Manager（2026年6月25日）
• ▸CISA - Known Exploited Vulnerabilities Catalog（CVE-2026-20245 は2026年6月9日登録、是正期限2026年6月23日）
• ▸Security NEXT - Cisco Catalyst SD-WAN Managerの脆弱性（2026年6月5日。日本語での唯一の報道だが、記述は公開時点のもの）
• ▸CWE-116: 出力のエスケープ処理の不備（CISA KEVでの分類）
• ▸NVD - CVE-2026-20245
• ▸The Hacker News - Cisco Catalyst SD-WAN Manager CVE-2026-20245 actively exploited
• ▸SC Media - Another Cisco Catalyst SD-WAN Manager bug actively exploited
• ▸CWE-78: OSコマンドインジェクション