Čo sa stalo
Cisco 25. februára 2026 zverejnil bezpečnostný bulletin cisco-sa-sdwan-rpa-EHchtZk o kritickej chybe CVE-2026-20127 v riešení Catalyst SD-WAN. Ide o softvér, ktorým firmy centrálne riadia sieť medzi pobočkami, dátovými centrami a cloudom. Chyba je v riadiacich komponentoch: Catalyst SD-WAN Controller (predtým vSmart), Catalyst SD-WAN Manager (predtým vManage) a Catalyst SD-WAN Validator (predtým vBond).
Podľa Cisca nefunguje správne mechanizmus, ktorým sa tieto komponenty navzájom overujú. Útočník tak môže obísť prihlásenie a získať administrátorské oprávnenia. Cisco vydal opravené verzie softvéru a uvádza, že náhradné riešenie (workaround), ktoré by chybu odstránilo, neexistuje.
Chyba sa už aktívne zneužíva. Americká agentúra CISA ju 25. februára 2026, teda v deň zverejnenia, zaradila do katalógu zneužívaných zraniteľností a európska databáza EUVD agentúry ENISA eviduje zneužívanie od rovnakého dňa. Cisco bulletin naposledy aktualizoval 28. októbra 2026 (verzia 2.1, Final).
Prečo je to nebezpečné
Ide o obídenie autentifikácie (CWE-287). Predstavte si budovu, kde sa technici navzájom púšťajú dnu na základe služobného preukazu. Ak čítačka preukazov nefunguje správne, dnu sa dostane aj niekto, kto platný preukaz nemá. Presne takto zlyháva overovanie medzi riadiacimi komponentmi SD-WAN.
Útočník nepotrebuje žiadne prihlasovacie údaje ani pomoc používateľa. Stačí, že sa cez sieť dostane k zraniteľnému systému a pošle mu špeciálne upravené požiadavky. Podľa Cisca sa potom môže prihlásiť do Controllera ako interný účet s vysokými oprávneniami (nie však root). Cez tento účet získa prístup k rozhraniu NETCONF a môže meniť konfiguráciu celej SD-WAN siete.
- CVSS je štandardná stupnica závažnosti od 0 do 10. Skóre 10,0 (CVSS 3.1) pridelil chybe sám Cisco. Ide o maximum: útok cez sieť, bez prihlásenia, s nízkou zložitosťou a s vysokým dopadom na dôvernosť, integritu aj dostupnosť.
- Katalóg CISA KEV (Known Exploited Vulnerabilities) obsahuje len chyby, pri ktorých má americká agentúra CISA dôkaz o zneužívaní. Federálnym úradom v USA nariadila vyriešiť túto chybu do 27. februára 2026, teda do dvoch dní. Odkazuje pritom na svoju mimoriadnu smernicu Emergency Directive 26-03 k systémom Cisco SD-WAN.
- EPSS odhaduje pravdepodobnosť, že sa chyba v najbližších 30 dňoch zneužije. K 28. októbru 2026 je to 89,3 %, čo je viac ako pri 99,8 % všetkých známych zraniteľností.
Koho sa to týka
Chyba sa týka troch riadiacich komponentov Cisco Catalyst SD-WAN: Controller (vSmart), Manager (vManage) a Validator (vBond). Podľa Cisca sú zraniteľné bez ohľadu na to, ako sú nakonfigurované. Ktoré verzie softvéru sú zasiahnuté, uvádza Cisco v tabuľke Fixed Software vo svojom bulletine. Zasiahnuté sú tieto typy nasadenia:
- vlastná prevádzka (On-Prem Deployment) vo vlastnom dátovom centre
- Cisco Hosted SD-WAN Cloud
- Cisco Hosted SD-WAN Cloud, variant Cisco Managed
- Cisco Hosted SD-WAN Cloud, prostredie FedRAMP
Catalyst SD-WAN typicky používajú firmy a organizácie s viacerými pobočkami a často ho za ne spravuje integrátor alebo poskytovateľ služieb. Cisco upozorňuje, že ohrozené sú systémy, ktoré majú porty dostupné z internetu. Cisco uvádza, že zasiahnuté sú len vymenované produkty. Ak SD-WAN od Cisca nepoužívate, táto chyba sa vás netýka.
Ako zistiť, či ste zasiahnutí
Najprv zistite, či vo firme Cisco Catalyst SD-WAN vôbec beží a kto ho spravuje. Ak ho za vás prevádzkuje dodávateľ, opýtajte sa ho priamo, či má nasadenú opravu pre CVE-2026-20127.
Verziu zistíte vo webovom rozhraní SD-WAN Manager v zozname zariadení (Devices), kde sú aj riadiace komponenty. Na príkazovom riadku každého komponentu ju zobrazí tento príkaz, ktorý nič nemení:
show versionZistenú verziu porovnajte s tabuľkou Fixed Software v bulletine Cisca cisco-sa-sdwan-rpa-EHchtZk. Zároveň si v pravidlách firewallu overte, či sú porty 22 (SSH) a 830 (NETCONF) riadiacich komponentov dostupné z internetu alebo z neznámych adries.
Ako to opraviť
Jediné trvalé riešenie je aktualizácia na opravenú verziu. Cisco opravy vydal a konkrétne čísla verzií pre jednotlivé vetvy uvádza v časti Fixed Software svojho bulletinu. Náhradné riešenie, ktoré by chybu odstránilo, podľa Cisca neexistuje, k dispozícii je len dočasné zmiernenie. Odporúčané poradie krokov:
- Zmapujte všetky riadiace komponenty (Controller, Manager, Validator) a ich verzie.
- Ak prevádzkujete SD-WAN vo vlastnom dátovom centre, okamžite obmedzte prístup na porty 22 a 830 pomocou ACL, bezpečnostných skupín alebo firewallu len na známe IP adresy controllerov a ďalšie známe adresy. Cisco odporúča povoliť prístup k riadiacim komponentom iba hostiteľom a zariadeniam, ktoré ho potrebujú, podľa kapitoly Firewall Ports v príručke Cisco Catalyst SD-WAN Getting Started Guide.
- Ešte pred aktualizáciou skontrolujte znaky napadnutia (pozri ďalšiu sekciu), aby ste prípadný prienik odhalili čo najskôr.
- Naplánujte a vykonajte aktualizáciu na prvú opravenú verziu podľa tabuľky Cisca. Pri poradí aktualizácie komponentov sa riaďte dokumentáciou výrobcu.
- Po aktualizácii overte verziu príkazom
show versiona skontrolujte, či sa všetky zariadenia v sieti znovu pripojili.
Pri všetkých troch variantoch Cisco Hosted SD-WAN Cloud (štandardnom, Cisco Managed aj FedRAMP) sú podľa Cisca tieto ochranné opatrenia už zavedené. Ako zodpovedného však Cisco uvádza zákazníka, pri variante Cisco Managed zákazníka spolu s Ciscom. Stav si preto overte u svojho kontaktu v Cisco.
Cisco upozorňuje, že zmiernenie sa osvedčilo v testovacom prostredí, ale môže ovplyvniť funkčnosť alebo výkon siete. Pred nasadením preto posúďte dopad na vaše prostredie. CISA k tomu vydala aj návod Hunt & Hardening Guidance for Cisco SD-WAN Systems.
Čo ak už ste mohli byť napadnutí
Cisco odporúča skontrolovať súbor /var/log/auth.log a hľadať záznamy o úspešnom prihlásení účtu vmanage-admin pomocou kľúča (Accepted publickey) z neznámych alebo nepovolených IP adries. V linuxovom shelli riadiaceho komponentu (z CLI sa doň dostanete príkazom vshell) ich vyhľadáte týmto príkazom. Prehľadá aj staršie, prípadne skomprimované logy a nič nemení:
zgrep -h "Accepted publickey for vmanage-admin" /var/log/auth.log*Každú IP adresu z výsledku porovnajte so zoznamom System IP vo webovom rozhraní SD-WAN Manager (WebUI > Devices, stĺpec System IP). Adresa, ktorá tam nie je, je vážne varovanie. Cisco ďalej odporúča ručne overiť každé nadviazanie riadiaceho spojenia (peering) v logoch SD-WAN, najmä typu vmanage:
- Sedí čas spojenia s plánovanou údržbou, zmenami konfigurácie alebo bežnou pracovnou dobou?
- Patrí verejná IP adresa vašej organizácii alebo autorizovanému partnerovi?
- Zodpovedajú system IP a typ zariadenia (vmanage, vsmart, vedge, vbond) vašej topológii?
- Neopakujú sa spojenia z rovnakej adresy a dajú sa spárovať so záznamami o zmenách a činnosti správcov?
Ak nájdete čokoľvek podozrivé, otvorte prípad v Cisco TAC. Cisco odporúča ešte predtým spustiť na každom riadiacom komponente príkaz request admin-tech, ktorý zozbiera diagnostické údaje pre technickú podporu. Pri potvrdenom prieniku prizvite odborníka na riešenie incidentov, pretože útočník mohol zmeniť konfiguráciu celej SD-WAN siete.