Co se stalo
Cisco 25. února 2026 zveřejnilo bezpečnostní bulletin cisco-sa-sdwan-rpa-EHchtZk ke kritické chybě CVE-2026-20127 v řešení Catalyst SD-WAN. Jde o software, kterým firmy centrálně řídí síť mezi pobočkami, datovými centry a cloudem. Chyba je v řídicích komponentách: Catalyst SD-WAN Controller (dříve vSmart), Catalyst SD-WAN Manager (dříve vManage) a Catalyst SD-WAN Validator (dříve vBond).
Podle Cisca nefunguje správně mechanismus, kterým se tyto komponenty navzájem ověřují. Útočník tak může obejít přihlášení a získat administrátorská oprávnění. Cisco vydalo opravené verze softwaru a uvádí, že náhradní řešení (workaround), které by chybu odstranilo, neexistuje.
Chyba se už aktivně zneužívá. Americká agentura CISA ji 25. února 2026, tedy v den zveřejnění, zařadila do katalogu zneužívaných zranitelností a evropská databáze EUVD agentury ENISA eviduje zneužívání od stejného dne. Cisco bulletin naposledy aktualizovalo 28. října 2026 (verze 2.1, Final).
Proč je to nebezpečné
Jde o obejití autentizace (CWE-287). Představte si budovu, kde se technici navzájem pouštějí dovnitř na základě služebního průkazu. Pokud čtečka průkazů nefunguje správně, dovnitř se dostane i někdo, kdo platný průkaz nemá. Přesně takto selhává ověřování mezi řídicími komponentami SD-WAN.
Útočník nepotřebuje žádné přihlašovací údaje ani pomoc uživatele. Stačí, že se přes síť dostane ke zranitelnému systému a pošle mu speciálně upravené požadavky. Podle Cisca se pak může přihlásit do Controlleru jako interní účet s vysokými oprávněními (nikoli však root). Přes tento účet získá přístup k rozhraní NETCONF a může měnit konfiguraci celé SD-WAN sítě.
- CVSS je standardní stupnice závažnosti od 0 do 10. Skóre 10,0 (CVSS 3.1) chybě přidělilo samo Cisco. Jde o maximum: útok přes síť, bez přihlášení, s nízkou složitostí a s vysokým dopadem na důvěrnost, integritu i dostupnost.
- Katalog CISA KEV (Known Exploited Vulnerabilities) obsahuje jen chyby, u kterých má americká agentura CISA důkaz o zneužívání. Federálním úřadům v USA nařídila vyřešit tuto chybu do 27. února 2026, tedy do dvou dnů. Odkazuje přitom na svou mimořádnou směrnici Emergency Directive 26-03 k systémům Cisco SD-WAN.
- EPSS odhaduje pravděpodobnost, že chyba bude v příštích 30 dnech zneužita. K 28. říjnu 2026 je to 89,3 %, což je víc než u 99,8 % všech známých zranitelností.
Koho se to týká
Chyba se týká tří řídicích komponent Cisco Catalyst SD-WAN: Controller (vSmart), Manager (vManage) a Validator (vBond). Podle Cisca jsou zranitelné bez ohledu na to, jak jsou nakonfigurované. Které verze softwaru jsou zasažené, uvádí Cisco v tabulce Fixed Software ve svém bulletinu. Zasažené jsou tyto typy nasazení:
- vlastní provoz (On-Prem Deployment) ve vlastním datovém centru
- Cisco Hosted SD-WAN Cloud
- Cisco Hosted SD-WAN Cloud, varianta Cisco Managed
- Cisco Hosted SD-WAN Cloud, prostředí FedRAMP
Catalyst SD-WAN typicky používají firmy a organizace s více pobočkami a často ho za ně spravuje integrátor nebo poskytovatel služeb. Cisco upozorňuje, že ohrožené jsou systémy, které mají porty dostupné z internetu. Cisco uvádí, že zasažené jsou jen vyjmenované produkty. Pokud SD-WAN od Cisca nepoužíváte, tato chyba se vás netýká.
Jak zjistit, zda jste zasaženi
Nejprve zjistěte, zda ve firmě Cisco Catalyst SD-WAN vůbec běží a kdo ho spravuje. Pokud ho za vás provozuje dodavatel, zeptejte se ho přímo, zda má nasazenou opravu pro CVE-2026-20127.
Verzi zjistíte ve webovém rozhraní SD-WAN Manager v seznamu zařízení (Devices), kde jsou i řídicí komponenty. Na příkazové řádce každé komponenty ji zobrazí tento příkaz, který nic nemění:
show versionZjištěnou verzi porovnejte s tabulkou Fixed Software v bulletinu Cisca cisco-sa-sdwan-rpa-EHchtZk. Zároveň si v pravidlech firewallu ověřte, zda jsou porty 22 (SSH) a 830 (NETCONF) řídicích komponent dostupné z internetu nebo z neznámých adres.
Jak to opravit
Jediné trvalé řešení je aktualizace na opravenou verzi. Cisco opravy vydalo a konkrétní čísla verzí pro jednotlivé větve uvádí v části Fixed Software svého bulletinu. Náhradní řešení, které by chybu odstranilo, podle Cisca neexistuje, k dispozici je jen dočasné zmírnění. Doporučené pořadí kroků:
- Zmapujte všechny řídicí komponenty (Controller, Manager, Validator) a jejich verze.
- Pokud provozujete SD-WAN ve vlastním datovém centru, okamžitě omezte přístup na porty 22 a 830 pomocí ACL, bezpečnostních skupin nebo firewallu jen na známé IP adresy controllerů a další známé adresy. Cisco doporučuje povolit přístup k řídicím komponentám jen hostitelům a zařízením, které ho potřebují, podle kapitoly Firewall Ports v příručce Cisco Catalyst SD-WAN Getting Started Guide.
- Ještě před aktualizací zkontrolujte známky napadení (viz další sekce), abyste případný průnik odhalili co nejdřív.
- Naplánujte a proveďte aktualizaci na první opravenou verzi podle tabulky Cisca. Při pořadí aktualizace komponent se řiďte dokumentací výrobce.
- Po aktualizaci ověřte verzi příkazem
show versiona zkontrolujte, zda se všechna zařízení v síti znovu připojila.
U všech tří variant Cisco Hosted SD-WAN Cloud (standardní, Cisco Managed i FedRAMP) jsou podle Cisca tato ochranná opatření už zavedena. Jako odpovědného však Cisco uvádí zákazníka, u varianty Cisco Managed zákazníka společně s Ciscem. Stav si proto ověřte u svého kontaktu v Cisco.
Cisco upozorňuje, že zmírnění se osvědčilo v testovacím prostředí, ale může ovlivnit funkčnost nebo výkon sítě. Před nasazením proto posuďte dopad na vaše prostředí. CISA k tomu vydala také návod Hunt & Hardening Guidance for Cisco SD-WAN Systems.
Co když už jste mohli být napadeni
Cisco doporučuje zkontrolovat soubor /var/log/auth.log a hledat záznamy o úspěšném přihlášení účtu vmanage-admin pomocí klíče (Accepted publickey) z neznámých nebo nepovolených IP adres. V linuxovém shellu řídicí komponenty (z CLI se do něj dostanete příkazem vshell) je vyhledáte tímto příkazem. Prohledá i starší, případně komprimované logy a nic nemění:
zgrep -h "Accepted publickey for vmanage-admin" /var/log/auth.log*Každou IP adresu z výsledku porovnejte se seznamem System IP ve webovém rozhraní SD-WAN Manager (WebUI > Devices, sloupec System IP). Adresa, která tam není, je vážné varování. Cisco dále doporučuje ručně ověřit každé navázání řídicího spojení (peering) v logech SD-WAN, zejména typu vmanage:
- Odpovídá čas spojení plánované údržbě, změnám konfigurace nebo běžné pracovní době?
- Patří veřejná IP adresa vaší organizaci nebo autorizovanému partnerovi?
- Odpovídají system IP a typ zařízení (vmanage, vsmart, vedge, vbond) vaší topologii?
- Neopakují se spojení ze stejné adresy a dají se spárovat se záznamy o změnách a činnosti správců?
Pokud najdete cokoli podezřelého, otevřete případ v Cisco TAC. Cisco doporučuje ještě předtím spustit na každé řídicí komponentě příkaz request admin-tech, který shromáždí diagnostická data pro technickou podporu. Při potvrzeném průniku přizvěte odborníka na řešení incidentů, protože útočník mohl změnit konfiguraci celé SD-WAN sítě.