Kerngegevens
- Leverancier
- Cisco
- Producten
- Cisco Catalyst SD-WAN Controller
- Cisco Catalyst SD-WAN Manager
- Cisco Catalyst SD-WAN Validator
- Soort software
- netwerk
- Getroffen versies
- Cisco Catalyst SD-WAN Controller, Manager en Validator Alle releases ouder dan de opgeloste versie, ongeacht configuratie; 20.9 en ouder, 20.10 t/m 20.18 en 26.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Cisco Catalyst SD-WAN 20.9 20.9.9.1
- Cisco Catalyst SD-WAN 20.10, 20.11 en 20.12 20.12.5.4, 20.12.6.2 of 20.12.7.1
- Cisco Catalyst SD-WAN 20.13, 20.14 en 20.15 20.15.4.4 of 20.15.5.2
- Cisco Catalyst SD-WAN 20.16 en 20.18 20.18.2.2
- Cisco Catalyst SD-WAN 26.1 26.1.1.1
- Ouder dan 20.9 migreren naar een opgeloste release
- CVE gepubliceerd
- 14 mei 2026
- Op de KEV-lijst sinds
- 14 mei 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Cisco Catalyst SD-WAN werkt de controle bij het opzetten van een vertrouwde verbinding (peering) tussen onderdelen niet goed. Daardoor kan een aanvaller zonder inloggegevens en vanaf afstand de authenticatie omzeilen. De aanvaller kan zo inloggen op een Cisco Catalyst SD-WAN Controller als interne gebruiker met hoge rechten. Via dat account kan hij bij NETCONF en de netwerkconfiguratie van het SD-WAN aanpassen. Het lek staat sinds mei 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je organisatie Cisco Catalyst SD-WAN Controller (voorheen vSmart), Manager (voorheen vManage) of Validator (voorheen vBond) gebruikt, ongeacht de configuratie. Dat geldt voor on-premises, Cloud-Pro en de FedRAMP-omgeving. De cloudomgeving die Cisco zelf beheert, is al bijgewerkt (20.15.506). Systemen met poorten die vanaf internet bereikbaar zijn, lopen het meeste risico. Dit is een nieuw lek, los van het SD-WAN-lek uit februari 2026.
Wat moet je doen?
Ga na of je Cisco Catalyst SD-WAN gebruikt
Controleer of je Cisco Catalyst SD-WAN Controller, Manager of Validator in gebruik hebt en welke release erop draait.
Bewaar eerst de sporen
Voer vóór de upgrade op elk controle-onderdeel het commando request admin-tech uit en bewaar de logbestanden. Zo blijven eventuele sporen van misbruik bewaard voor onderzoek.
Werk bij naar een opgeloste release
Installeer de eerste opgeloste release voor jouw reeks: 20.9.9.1, 20.12.5.4/20.12.6.2/20.12.7.1, 20.15.4.4/20.15.5.2, 20.18.2.2 of 26.1.1.1. Releases 20.10, 20.11, 20.13, 20.14 en 20.16 worden niet meer onderhouden: stap over op een ondersteunde reeks. Er is geen workaround.
Controleer op misbruik
Zoek in /var/log/auth.log naar 'Accepted publickey for vmanage-admin' vanaf onbekende IP-adressen en controleer met show control connections detail (op de Validator: show orchestrator connections detail) of er verbindingen met state up en challenge-ack 0 zijn. Controleer ook peering-events van het type vmanage op onverwachte tijden of adressen.
Schakel Cisco TAC in bij twijfel
Zie je sporen van misbruik, dan lost alleen de update het niet op. Open een case bij Cisco TAC met CVE-2026-20182 in de titel en volg hun herstelstappen. CISA verwijst daarnaast naar Emergency Directive 26-03 en de bijbehorende Hunt & Hardening Guidance.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het peering-authenticatiemechanisme van Cisco Catalyst SD-WAN Controller, Manager en Validator, dat niet goed werkt bij het afhandelen van de control connection handshake. Een niet-geauthenticeerde aanvaller kan via het netwerk speciaal samengestelde verzoeken sturen om de authenticatie te omzeilen. Bij succes krijgt de aanvaller toegang tot een Cisco Catalyst SD-WAN Controller als interne, niet-root gebruiker met hoge rechten. Met dat account is NETCONF bereikbaar, waarmee de netwerkconfiguratie van de SD-WAN-fabric kan worden gewijzigd. De CVSS-vector (netwerk, lage complexiteit, geen rechten, geen gebruikersinteractie, gewijzigde scope) leidt tot een score van 10,0. Het lek is ingedeeld als CWE-287 (onjuiste authenticatie).
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 91,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 14 mei 2026
- Deadline van CISA
- 17 mei 2026
- Gebruikt door ransomwaregroepen
- Niet bekend