はじめに
2026年5月から6月にかけて、Cisco Catalyst SD-WAN関連のコンポーネントに複数の脆弱性が公開されました。その中でもCVE-2026-20245は、Cisco Catalyst SD-WAN ManagerのCLIにおける入力検証不備により、netadmin権限を持つ認証済みローカル攻撃者が、細工されたファイルをアップロードすることでroot権限で任意のコマンドを実行できる可能性がある脆弱性です。
単独では認証済みの攻撃者を前提とする脆弱性ですが、認証バイパス系の脆弱性や漏洩した認証情報と組み合わさると、インターネットに公開されたSD-WAN ManagerやControllerが攻撃チェーンの起点になる可能性があります。
今回は、IT資産検索エンジン「Criminal IP」を使って、Cisco Catalyst SD-WAN関連の公開資産を調べてみました。調査中に、HTMLタイトルだけでは判断しづらいケースや、検索結果と現在のライブ応答が一致しないケースもあったため、その点もメモとして整理します。
先に結論
今回の調査で分かったことは、ざっくり以下です。
- Criminal IPでは title: "Cisco Catalyst SD-WAN" のクエリで、Cisco Catalyst SD-WAN関連と見られる公開資産の候補を確認できる
- 2026年6月初旬時点で、約8,900件の公開資産が確認された
- ただし、HTMLタイトルだけでは本物のCisco Catalyst SD-WAN Managerとは断定できない
- cPanel/WHMのように、現在のライブ応答では別サービスが返ってくるケースもあった
- 検索結果を見るだけでなく、curlやブラウザでライブ応答を確認することが重要
- 最終的には、公式アドバイザリ、ログ、IoC、社内資産台帳と照合して判断する必要がある
CVE-2026-20245の概要
まず、今回の脆弱性を簡単に整理します。
| 項目 | 内容 |
|---|---|
| 対象 | Cisco Catalyst SD-WAN Manager（旧vManage）、Controller、Validator |
| 脆弱性ID | CVE-2026-20245 |
| 脆弱性概要 | CLI上の入力検証不備により、細工されたファイルのアップロードを通じてroot権限で任意のコマンドを実行できる可能性 |
| 前提条件 | netadmin権限での認証 |
| 影響を受ける構成 | オンプレミス、Cloud/Cloud-Pro、Cisco管理型、FedRAMP環境を含む複数のデプロイメント |
| 推奨対応 | Cisco公式アドバイザリに従い、修正版へのアップグレード、ログ確認、admin-techファイルの保全、IoC確認を実施 |
SD-WAN Managerは、単なるログイン画面ではなく、エッジデバイスの設定やネットワークポリシーを管理する制御レイヤーです。そのため、外部から到達可能な状態にある場合、認証突破や権限昇格と組み合わさって、ネットワーク全体への影響につながる可能性があります。
想定される攻撃の流れ
今回の脆弱性は、以下のような攻撃チェーンの一部として見ると分かりやすいです。
1. 外部公開されたSD-WAN管理資産を探す
攻撃者はインターネットスキャンを使って、外部からアクセス可能なCisco Catalyst SD-WAN Managerや関連管理インターフェースを探します。
2. netadmin権限の取得を試みる
CVE-2026-20245の悪用には、netadmin権限が必要です。
そのため、攻撃者は以下のような方法で認証突破を試みる可能性があります。
- 漏洩した認証情報の悪用
- パスワードの再利用
- フィッシング
- 認証バイパス系脆弱性の悪用
- 不要アカウントや共有アカウントの悪用
3. CVE-2026-20245でroot権限へ昇格する
netadmin権限を取得した攻撃者は、CLI機能を通じて細工されたファイルをアップロードし、ファイル処理の過程でroot権限での任意コマンド実行を試みる可能性があります。
4. エッジデバイスやネットワーク設定に影響が広がる
SD-WAN Managerは、エッジデバイスの設定やネットワークポリシーを中央管理しています。
そのため、管理レイヤーが侵害された場合、攻撃者は以下のような操作を試みる可能性があります。
- エッジデバイスへの設定変更
- ネットワークポリシーの変更
- 通信経路の変更
- 不正なリモートアクセス経路の追加
- ログや設定履歴の改ざん
ここが、SD-WAN Managerの怖いところです。
単なるログイン画面ではなく、ネットワーク制御に関わる管理プレーンであるため、外部公開されているだけでも攻撃者にとっては重要な初期接点になります。
Criminal IPで公開資産を検索してみる
ここからは、Criminal IPのIT資産検索を使って、実際にCisco Catalyst SD-WAN関連の公開資産を探してみます。
1. HTMLタイトルで検索する
Criminal IPの検索画面で、以下のようなクエリを実行します。
title: "Cisco Catalyst SD-WAN"
このクエリにより、ログインページのHTMLタイトルに「Cisco Catalyst SD-WAN」を含むホストを確認できます。
検索結果では、各ホストについて以下のような情報を確認できます。
- IPアドレス・ポート
- Inbound/Outboundスコア(Critical / Moderate など、危険度の指標)
- SSL証明書情報(発行者、有効期限、Subject Common Name など)
- HTTPレスポンスのプレビュー(ステータスコード、Content-Length、Serverヘッダーなど)
- ホスティング元の組織・国(AWSやOVHなど、クラウド事業者上にホストされているケースも多い)
今回確認したところ、2026年6月初旬時点で、Cisco Catalyst SD-WAN関連と見られるインターネット公開資産が約8,900件確認されました。もちろん、この数がそのまま「すべて脆弱」という意味ではありません。
ただし、SD-WAN Managerや関連管理インターフェースが外部から見える状態にある場合、攻撃者にとってはログインポータルの特定、認証情報の悪用、認証バイパス、権限昇格へとつながる初期接点になり得ます。そのため、まずは「外部から見えている候補を洗い出す」ことが重要です。
2. 検索結果からライブ応答を確認する
ここで注意したいのが、検索結果だけで本物のCisco Catalyst SD-WAN Managerだと判断しないことです。検索エンジンに表示されている情報は、スキャン時点の情報です。
そのため、現在の状態とは違っている可能性があります。今回は、検索結果に表示された一部のIPアドレスに対して、curlでライブ応答を確認してみました。
curl -sk https://<対象IP>:8443/ -I
①cPanel/WHMの応答が返ってきたケース
検索結果に含まれていた13.xxx.xxx.37に対して確認したところ、Criminal IPの検索結果上ではHTML Titleが「Cisco Catalyst SD-WAN」と表示されていました。
一方で、curlでライブ応答を確認すると、ServerヘッダーはcPanelとなっており、Basic認証付きのcPanel/WHM系ログイン画面と見られる応答が返ってきました。
この応答を見る限り、現時点ではCisco Catalyst SD-WAN Managerではなく、cPanel/WHM系のWebホスティング管理パネルとして動作している可能性があります。
つまり、検索結果上のHTMLタイトルと、現在のライブ応答が一致していないケースです。
考えられる理由としては、以下が挙げられます。
スキャン時点との差異
Criminal IPがスキャンした時点ではSD-WAN関連のページが表示されていたものの、その後サーバー構成や割り当てIPが変更された可能性があります。
クラウド環境では、IPアドレスの再割り当てやサービス構成の変更により、過去のスキャン結果と現在のライブ応答が異なることがあります。
偽装・デコイ
HTMLタイトルのみをCisco Catalyst SD-WANのように見せているホスト、または調査者を誘導する目的のデコイである可能性があります。
この場合、検索結果上ではCisco Catalyst SD-WANのように見えても、実際には別のサービスが稼働していることがあります。
ロードバランサーまたは複数vhost構成
同一IP・同一ポート上で複数のサービスがホスト名ベースでルーティングされており、検索エンジンが取得した応答と、curlで取得した応答が異なる経路で処理された可能性があります。
このような構成では、Hostヘッダーやアクセス経路によって異なるWebアプリケーションが返ることがあります。
②Cisco Catalyst SD-WAN Managerと見られる応答が返ってきたケース
別の検索結果に含まれていた203.xxx.xx.110に対して確認したところ、curlのレスポンスヘッダーではServerヘッダーにsvcproxyが表示されました。
また、ブラウザでアクセスした場合には、Cisco Catalyst SD-WANのログイン画面と見られるUIが表示されました。
ただし、ログイン画面の見た目やServerヘッダーだけで、正規のCisco Catalyst SD-WAN Managerであると断定することはできません。
実際の資産確認では、HTMLタイトル、Serverヘッダー、SSL証明書、ポート、ホスティング元、ライブ応答、社内資産台帳などを組み合わせて判断する必要があります。
ハマりポイント：HTMLタイトルだけでは判断しづらい
今回調べていて気になったのは、HTMLタイトルは「Cisco Catalyst SD-WAN」で一致しているものの、ライブ応答を見ると別サービスに見えるホストが含まれていた点です。
たとえば、Serverヘッダーとして以下のような値が返ってくるケースがありました。
server: cPanel
server: Apache/2.4.7 (Ubuntu)
server: EHTTP/1.1
つまり、title: "Cisco Catalyst SD-WAN" は公開資産の候補を洗い出すには便利ですが、それだけで「本物のCisco Catalyst SD-WAN Managerが稼働している」と判断するのは危険です。
検索結果を見たあとに、少なくとも以下を確認するとよさそうです。
・Serverヘッダーを見る
・curlでライブ応答を確認する
・ブラウザ表示だけで断定しない
・SSL証明書やホスト名を見る
・社内資産台帳と照合する
今回の調査で使った確認方法
今回のようなケースでは、検索結果を見たあとに、以下のような順番で確認するとよさそうです。
1. Criminal IPで候補を洗い出す
title: "Cisco Catalyst SD-WAN"
まずはHTMLタイトルを使って、関連する公開資産の候補を確認します。
2. 検索結果のHTTPプレビューを見る
Criminal IP上で、HTTPステータスコード、Content-Length、Serverヘッダー、HTMLタイトルなどを確認します。この時点で、明らかにcPanelや一般的なApache/Nginx系のWebサーバーに見えるものは、優先度を下げて確認します。
3. curlでライブ応答を見る
curl -sk https://<対象IP>:8443/ -I
検索結果と現在の応答が一致しているかを確認します。
4. ブラウザでUIを確認する
必要に応じて、ブラウザでログイン画面の表示を確認します。ただし、ログイン画面の見た目だけで正規の機器だと断定しないようにします。
5. 証明書やホスト名を見る
SSL証明書のSubject Common Name、SAN、発行者、有効期限などを確認します。想定外のホスト名や、クラウド事業者の汎用証明書が使われている場合は、追加確認が必要です。
6. 社内資産台帳と照合する
最終的には、社内CMDB、クラウド資産台帳、管理対象IPリスト、ネットワーク担当者の情報と照合します。検索エンジン上で見つかったからといって、すぐに自社資産とは限りません。逆に、自社のクラウド環境や委託先環境で意図せず公開されている可能性もあります。
まとめ
今回は、CVE-2026-20245をきっかけに、Criminal IPを使ってCisco Catalyst SD-WAN関連の公開資産を調べてみました。
title: "Cisco Catalyst SD-WAN" を使うことで、Cisco Catalyst SD-WAN関連と見られる公開資産の候補を効率よく洗い出すことができます。
一方で、HTMLタイトルだけでは判断が難しいケースもありました。実際にcurlでライブ応答を確認すると、cPanel/WHMのような別サービスが返ってくるホストもあり、検索結果と現在の状態が一致しないケースがあることが分かりました。
CVE-2026-20245はnetadmin権限を前提とする脆弱性ですが、外部公開されたSD-WAN管理資産が存在する場合、認証バイパスや漏洩認証情報と組み合わさることで、攻撃チェーンの起点になる可能性があります。
脆弱性対応では、パッチ適用だけでなく、「そもそも管理画面が外部から見えていないか」を確認することが重要です。
参考リンク
- Cisco Security Advisory: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-privesc-4uxFrdzx