思科 Catalyst SD-WAN 控制器曝重大身分認證繞過漏洞

漏洞發現與影響範圍

思科於 5 月 14 日發布資安公告，指出其 Catalyst SD-WAN Controller 與 Catalyst SD-WAN Manager（原名 SD-WAN vSmart、SD-WAN vManage）產品中存在一項嚴重漏洞。該漏洞位於對等身分驗證流程中，未經身分驗證的攻擊者可遠端繞過驗證機制，並取得系統管理權限。

漏洞等級與風險評估

此漏洞登記為 CVE-2026-20182，CVSS 風險評分為 10 分（滿分 10 分），屬於重大風險等級，相當危險。無論本地建置的 SD-WAN 環境如何，只要存在該漏洞，攻擊者即可利用此機制進行遠端入侵。

相關漏洞與攻擊情況

搜尋結果顯示，思科近期（2026 年 2 月）亦發布了另一項相關漏洞 CVE-2026-20127，同樣涉及 Catalyst SD-WAN 控制器的身分驗證繞過問題。該漏洞自 2023 年以來已被攻擊者利用，攻擊者可透過植入惡意對等節點來掌控 SD-WAN 環境。此外，思科也警告指出，近期修補的漏洞（如 CVE-2026-20128 與 CVE-2026-20122）仍正被積極利用中。

思科建議措施

針對上述漏洞，思科建議用戶立即更新系統至最新版本以修補漏洞。對於自行建置 SD-WAN 控制器的用戶，應特別注意管理端口的存取控制（ACL）設定，並定期檢視系統日誌以偵測異常活動。