Cisco: יום אפס בניהול ה-SD-WAN מנוצל בתקיפות, ובהודעה הראשונה לא היה תיקון
Cisco הודיעה ב-4 ביוני שתוקפים מנצלים את CVE-2026-20245 ב-Catalyst SD-WAN, ושעוד אין תיקון. מי שמחזיק הרשאת netadmin יכול להריץ פקודות כ-root ולדחוף שינויי הגדרות לנתבי הקצה.
TL;DR בקצרה
- CVE-2026-20245 היא חולשת הזרקת פקודות בממשק השורה של Controller, Manager ו-Validator ב-Cisco Catalyst SD-WAN, בדירוג CVSS של 7.8.
- תוקף עם הרשאת netadmin יכול להריץ פקודות כ-root. Cisco מדווחת על מקרים בודדים שבהם דחפו בעקבות כך שינוי הגדרות לנתבי קצה.
- בהודעה הראשונה לא היו תיקון או פתרון עוקף. Mandiant דווחה על החולשה ל-Cisco.
- עד 12 ביוני פרסמה Cisco גרסאות מתוקנות, ואת הרשימה השלימה ב-21 ביולי.
Cisco הודיעה ב-4 ביוני שתוקפים מנצלים את CVE-2026-20245 ב-Catalyst SD-WAN. זו חולשה בשלושה רכיבים של הפלטפורמה, והיא מאפשרת להריץ פקודות עם הרשאות root. בהודעה הראשונה עוד לא היה תיקון. מי שמפעיל SD-WAN של Cisco, בעצמו או דרך ספק, צריך לבדוק עכשיו את הגרסאות.
מה קורה ב-Catalyst SD-WAN: החולשה CVE-2026-20245
הפלטפורמה כוללת שלושה רכיבי ניהול. Controller (לשעבר vSmart), Manager (לשעבר vManage) ו-Validator (לשעבר vBond). החולשה קיימת בממשק השורה של שלושתם. Cisco מציינת שהיא חלה בכל הגדרה. היא חלה בהתקנה מקומית וגם בענן של Cisco ובגרסת FedRAMP לגופים ממשלתיים.
זו חולשת הזרקת פקודות. הסיבה היא בדיקה לא מספקת של קלט שמשתמש מעלה. תוקף שמעלה לשרת את הקובץ שנבנה במיוחד יכול להריץ פקודות כ-root, ההרשאה החזקה ביותר במערכת. דירוג CVSS הוא 7.8, כלומר גבוה אבל לא קריטי.
ניצול בשטח, בלי תיקון: מה Cisco מסרה
לפי ההודעה, Cisco גילתה את הניצול ביוני 2026. היא רואה מקרים בודדים שבהם הניצול הוביל לדחיפת שינוי הגדרות לנתבי הקצה. אלה המכשירים שמקבלים הוראות מהמנהל המרכזי. Cisco לא מכירה ניצול בדרכים אחרות. בהודעה היא מזכירה את Mandiant, חטיבה של Google Cloud, שדיווחה לה על החולשה.
בהודעה הראשונה גם לא היה פתרון עוקף. לפי The Register, Cisco מסרה: ״תיקון לחולשה יסופק במועד עתידי״. עד אז היא המליצה לעבור לגרסה המתוקנת של מאי 2026 עבור CVE-2026-20182. היא המליצה גם לבדוק את הגדרות נתבי הקצה.
למה Catalyst SD-WAN הוא יעד חוזר
התוקף צריך הרשאת netadmin. Cisco מסבירה שיש שתי דרכים להשיג אותה. האחת היא פרטי כניסה תקפים. השנייה היא ניצול של CVE-2026-20182 או של CVE-2026-20127. The Register מציין שפרטי כניסה חשופים לא קשה למצוא או לקנות.
מערכת הניהול של SD-WAN שולטת בכל הסניפים. מי שמשתלט עליה יכול לשנות הגדרות ברשת כולה. לכן היא יעד אטרקטיבי לתוקפים. לפי The Register, תוקפים ניצלו ב-2026 כמה חולשות ב-SD-WAN של Cisco. אחת מהן היא CVE-2026-20127, שהחברה סגרה בפברואר. היא עוררה אזהרה משותפת של ברית Five Eyes. ועוד אחת היא CVE-2026-20182, מחודש מאי.
מה קרה מאז
Cisco עדכנה את ההודעה שלה כמה פעמים. עד 12 ביוני היא פרסמה גרסאות מתוקנות לכמה ענפים. בהן 20.9.9.2, 20.12.7.2, 20.15.4.5, 20.15.5.3 ו-26.1.1.2. ב-15 ביולי היא הוסיפה שכבת הגנה זמנית בשם Live Protect. ב-21 ביולי היא הוסיפה לטבלה את הענף 20.18. החברה מדגישה ששדרוג הוא התיקון המלא היחיד. לפי ההודעה, אחרי הפעלת השכבה לא יצליחו פעולות התאוששות מאסון וניהול אשכול של Manager.
מה זה אומר עבורכם
- בדקו גרסה ושדרגו: מצאו את גרסת ה-Manager, ה-Controller וה-Validator. השוו אותן לטבלת הגרסאות המתוקנות בהודעה של Cisco, ושדרגו.
- אספו נתוני אבחון: לפי SOC Prime, Cisco ממליצה להפיק admin-tech מכל רכיב בקרה לפני השדרוג. כך תשמרו ראיות אם התקיפה כבר קרתה.
- בדקו את הנתבים בסניפים: חפשו שינויי הגדרות שלא אושרו. השוו לגיבוי תקין.
- צמצמו הרשאות netadmin: סגרו חשבונות לא פעילים, החליפו סיסמאות והפעילו אימות רב-שלבי. אל תחשפו את ממשק הניהול לאינטרנט.
- עובדים עם ספק? שאלו אותו בכתב באיזו גרסה הוא מריץ את ה-Manager שלכם ומתי ישדרג.
מה הלאה
הפרטים על התוקפים עדיין חסרים. Cisco לא פרסמה מי ניצל את החולשה ומול מי. עד שיתברר, ההנחה הבטוחה היא שפרטי כניסה תקפים מספיקים כדי לפתוח את הדלת.
מקורות והרחבה
- Cisco Catalyst SD-WAN Privilege Escalation Vulnerability (cisco-sa-sdwan-privesc-4uxFrdzx)Cisco
- Yet another Cisco SD-WAN 0-day under attack, and no patch in sightThe Register
- CVE-2026-20245: Cisco SD-WAN Manager Zero-Day Enables Root Command ExecutionSOC Prime
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
