Falha no Cisco Catalyst SD-WAN Manager permite execução de comandos como root

A CVE-2026-20245 exige privilégios netadmin, já foi explorada em casos limitados e ainda não tem correção ou mitigação específica disponível.

Componente	CLI do Cisco Catalyst SD-WAN Manager, anteriormente conhecido como SD-WAN vManage
Vetor	envio de arquivo especialmente criado por atacante autenticado local com privilégios netadmin no sistema afetado
Impacto	injeção de comandos e elevação de privilégio para usuário root; em casos limitados, houve alteração de configuração enviada a dispositivos de borda
Prioridade	reduzir exposição à internet, revisar sinais de comprometimento e garantir as correções já publicadas para CVE-2026-20182
Implantações	On-Prem Deployment, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) e Cisco SD-WAN for Government (FedRAMP)
Artefatos	revisão do arquivo /var/log/scripts.log é indicada para busca de possíveis indicadores relacionados à exploração

Resumo técnico

A vulnerabilidade CVE-2026-20245 afeta o Cisco Catalyst SD-WAN Manager e recebeu pontuação CVSS 7.8. O problema está na interface de linha de comando do componente, onde a validação insuficiente de entrada fornecida pelo usuário permite que um arquivo especialmente criado acione injeção de comandos. O efeito confirmado é a possibilidade de execução arbitrária de comandos como root, mas a falha não é descrita como explorável diretamente por qualquer usuário remoto sem credenciais. A condição relevante é a presença de privilégios netadmin no sistema afetado.

A exploração já foi observada em atividade real, com casos limitados nos quais o abuso da falha resultou em alteração de configuração propagada para dispositivos de borda. Esse detalhe aumenta a prioridade operacional porque o SD-WAN Manager é um plano de gerenciamento: uma mudança indevida nesse ponto pode repercutir sobre equipamentos que dependem dele para configuração. Ainda assim, o impacto deve ser mantido no limite documentado: execução de comandos com elevação para root e alteração de configuração observada em alguns casos, sem extrapolar para vazamento de dados ou movimentação lateral não descritos.

Fluxo técnico

O fluxo de exploração depende de um atacante que já consiga operar com privilégios netadmin no Cisco Catalyst SD-WAN Manager. A falha ocorre quando a CLI processa entrada controlada pelo usuário sem validação suficiente. Ao fornecer um arquivo especialmente construído ao sistema afetado, o invasor pode provocar injeção de comandos. Como o resultado da exploração é a execução como root, a vulnerabilidade transforma uma posição administrativa já relevante em controle privilegiado sobre o sistema operacional subjacente do gerenciador.

O contexto também relaciona essa falha a dois problemas anteriores de desvio de autenticação no mesmo ecossistema: CVE-2026-20182 e CVE-2026-20127. A primeira tem pontuação CVSS 10.0 e foi descrita como capaz de permitir que atacantes remotos não autenticados obtenham privilégios administrativos em sistemas suscetíveis. A segunda é apontada como caso similar de desvio de autenticação no mesmo componente. O ponto defensivo central é que a CVE-2026-20245 exige netadmin, mas esse requisito pode ser satisfeito por credenciais válidas ou pela exploração prévia dessas falhas de autenticação. Não há indicação de sucesso por outros métodos.

A atividade envolvendo CVE-2026-20127 foi associada ao agrupamento UAT-8616 desde 2023, enquanto a autoria da exploração mais recente da CVE-2026-20245 permanece desconhecida. Essa distinção é importante para inteligência de ameaças: há histórico de abuso de vulnerabilidades no Cisco SD-WAN, mas o material analisado não atribui a exploração atual a um ator específico. A resposta deve tratar a falha como exploração ativa sem expandir a atribuição além do que foi informado.

Superfície afetada

A superfície citada inclui implantações locais e serviços gerenciados associados ao Cisco SD-WAN: On-Prem Deployment, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) e Cisco SD-WAN for Government (FedRAMP). Ambientes em que o gerenciador fica exposto à internet são descritos como de risco elevado, especialmente porque falhas anteriores podem fornecer o nível de privilégio necessário para acionar a nova vulnerabilidade.

A ausência de correção e de mitigação específica para CVE-2026-20245 desloca a defesa para redução de exposição, revisão de acesso administrativo, validação de integridade de configuração e aplicação das correções já disponíveis para CVE-2026-20182, publicadas em 14 de maio de 2026. Em ambientes SD-WAN, a revisão precisa considerar não apenas o gerenciador, mas também os dispositivos de borda que podem ter recebido alterações de configuração.

• Sistemas Cisco Catalyst SD-WAN Manager com acesso netadmin disponível a usuários ou sessões comprometidas
• Instâncias expostas à internet, citadas como cenário de risco elevado
• Ambientes que ainda não aplicaram as correções relacionadas à CVE-2026-20182
• Dispositivos de borda que receberam alterações de configuração a partir do gerenciador

Hunting e telemetria

A investigação deve começar pela correlação entre autenticação administrativa, uso da CLI e mudanças de configuração. Como a exploração exige netadmin, eventos de login, criação ou uso incomum de contas administrativas, sessões fora de janelas operacionais e alterações de configuração inesperadas são sinais relevantes. A telemetria deve separar alterações legítimas de manutenção de mudanças propagadas sem solicitação, principalmente em ambientes com múltiplos dispositivos de borda.

O arquivo /var/log/scripts.log é citado como local para busca de possíveis indicadores de comprometimento. Como o contexto não fornece exemplos completos de entradas, a análise defensiva deve se concentrar em anomalias de execução, referências incomuns a arquivos fornecidos ao sistema e atividades compatíveis com processamento indevido pela CLI. A revisão também deve cruzar o momento dessas entradas com eventos de autenticação netadmin e com mudanças aplicadas a equipamentos de borda.

• Entradas suspeitas em /var/log/scripts.log próximas a sessões administrativas
• Alterações de configuração enviadas a dispositivos de borda sem mudança aprovada
• Autenticações netadmin originadas de locais, horários ou contas fora do padrão
• Evidências de exploração anterior de CVE-2026-20182 ou CVE-2026-20127 em sistemas suscetíveis

Mitigação

Como não há patch ou mitigação específica disponível para CVE-2026-20245, a prioridade é reduzir as condições que tornam a exploração viável. Isso inclui remover exposição desnecessária à internet, restringir acesso administrativo ao SD-WAN Manager, revisar contas com privilégio netadmin e validar se há autenticação ou sessão administrativa que não corresponda a operação legítima. A aplicação das correções já publicadas para CVE-2026-20182 é uma ação crítica porque essa falha pode permitir obtenção de privilégios administrativos usados como pré-condição para a nova exploração.

Equipes de rede e segurança também devem auditar configurações recentes distribuídas a dispositivos de borda. A exploração observada em casos limitados resultou em alteração de configuração, portanto a validação deve comparar mudanças recentes com registros de mudança aprovados. Quando houver divergência, a resposta deve preservar logs, isolar caminhos administrativos suspeitos, revisar credenciais netadmin e restaurar configurações a partir de fonte confiável. A contenção precisa ser acompanhada de monitoramento contínuo, pois está é a sétima falha em Cisco SD-WAN sinalizada como explorada ativamente no ano, junto de CVE-2026-20182, CVE-2026-20127, CVE-2026-20122, CVE-2026-20128, CVE-2026-20133 e CVE-2022-20775.

• Aplicar as correções disponíveis para CVE-2026-20182 nos sistemas SD-WAN relevantes
• Remover ou restringir exposição do Cisco Catalyst SD-WAN Manager à internet
• Revisar contas e sessões com privilégio netadmin
• Auditar configurações propagadas para dispositivos de borda após eventos suspeitos
• Monitorar /var/log/scripts.log e logs administrativos até que uma correção específica seja disponibilizada