Cisco memperingatkan bahwa kerentanan bypass otentikasi kritis di Cisco Catalyst SD-WAN, yang dilacak sebagai CVE-2026-20127, secara aktif dieksploitasi dalam serangan zero-day yang memungkinkan penyerang jarak jauh menyusupi pengontrol dan menambahkan rekan jahat yang berbahaya ke jaringan yang ditargetkan.
CVE-2026-20127 memiliki tingkat keparahan maksimum 10,0 dan berdampak pada Cisco Catalyst SD-WAN Controller (sebelumnya vSmart) dan Cisco Catalyst SD-WAN Manager (sebelumnya vManage) dalam instalasi lokal dan SD-WAN Cloud.
Cisco memuji Pusat Keamanan Cyber Australia milik Direktorat Sinyal Australia (ACSC ASD) karena melaporkan kerentanan tersebut.
Dalam sebuah peringatan yang diterbitkan hari ini, Cisco mengatakan masalah ini berasal dari mekanisme otentikasi peering yang “tidak berfungsi dengan baik.”
“Kerentanan ini muncul karena mekanisme otentikasi peering dalam sistem yang terkena dampak tidak berfungsi dengan baik. Penyerang dapat mengeksploitasi kerentanan ini dengan mengirimkan permintaan yang dibuat ke sistem yang terkena dampak,” demikian bunyi pernyataan tersebut. Penasihat Cisco CVE-2026-20127.
“Eksploitasi yang berhasil dapat memungkinkan penyerang untuk masuk ke Pengontrol SD-WAN Cisco Catalyst yang terpengaruh sebagai akun pengguna internal, dengan hak istimewa tinggi, dan non-root. Dengan menggunakan akun ini, penyerang dapat mengakses NETCONF, yang kemudian memungkinkan penyerang memanipulasi konfigurasi jaringan untuk struktur SD-WAN.”
Cisco Catalyst SD-WAN adalah platform jaringan berbasis perangkat lunak yang menghubungkan kantor cabang, pusat data, dan lingkungan cloud melalui sistem yang dikelola secara terpusat. Ia menggunakan pengontrol untuk merutekan lalu lintas antar situs dengan aman melalui koneksi terenkripsi.
Dengan menambahkan rekan nakal, penyerang dapat memasukkan perangkat jahat ke dalam lingkungan SD-WAN yang tampak sah. Perangkat tersebut kemudian dapat membuat koneksi terenkripsi dan mengiklankan jaringan di bawah kendali penyerang, sehingga berpotensi memungkinkan mereka untuk masuk lebih dalam ke jaringan organisasi.
Saran terpisah dari Cisco Talos mengatakan kelemahan tersebut dieksploitasi secara aktif dalam serangan dan melacak aktivitas jahat di bawah “UAT-8616”, yang dinilai dengan keyakinan tinggi dilakukan oleh aktor ancaman yang sangat canggih.
Talos melaporkan bahwa telemetrinya menunjukkan eksploitasi terjadi setidaknya pada tahun 2023, dengan mitra intelijen menyatakan bahwa pelaku ancaman kemungkinan besar akan meningkat ke root dengan menurunkan versi ke versi perangkat lunak yang lebih lama, mengeksploitasi CVE-2022-20775 untuk mendapatkan akses root, dan kemudian memulihkan versi firmware asli.
Dengan kembali ke versi asli setelah eksploitasi, penyerang dapat memperoleh akses root sambil menghindari deteksi.
Eksploitasi ini diungkapkan dalam konsultasi terkoordinasi antara Cisco dan otoritas AS dan Inggris.
Pada tanggal 25 Februari 2026, CISA diterbitkan Petunjuk Darurat 26-03 mewajibkan lembaga Cabang Eksekutif Sipil Federal untuk menginventarisasi sistem Cisco SD-WAN, mengumpulkan artefak forensik, memastikan penyimpanan log eksternal, menerapkan pembaruan, dan menyelidiki potensi gangguan yang terkait dengan CVE-2026-20127 dan CVE-2022-20775.
CISA mengatakan eksploitasi tersebut menimbulkan ancaman nyata terhadap jaringan federal dan perangkat harus di-patch paling lambat pukul 17.00 ET pada tanggal 27 Februari 2026.
Panduan berburu dan pengerasan bersama dari CISA dan itu Pusat Keamanan Siber Nasional Inggris memperingatkan bahwa pelaku jahat menargetkan penerapan Cisco Catalyst SD-WAN secara global untuk menambahkan rekan jahat, kemudian melakukan tindakan lanjutan untuk mendapatkan akses root dan mempertahankan kontrol yang persisten.
Nasihat tersebut menekankan bahwa antarmuka manajemen SD-WAN tidak boleh terpapar ke internet dan mendesak organisasi untuk segera memperbarui dan memperkuat sistem yang terkena dampak.
“Peringatan baru kami memperjelas bahwa organisasi yang menggunakan produk Cisco Catalyst SD-WAN harus segera menyelidiki paparan mereka terhadap gangguan jaringan dan memburu aktivitas jahat, memanfaatkan saran perburuan ancaman baru yang dihasilkan bersama mitra internasional kami untuk mengidentifikasi bukti adanya gangguan,” kata Ollie Whitehouse, CTO NCSC, dalam sebuah pernyataan yang dibagikan kepada BleepingComputer.
“Organisasi-organisasi di Inggris sangat disarankan untuk melaporkan pelanggaran tersebut kepada NCSC, dan menerapkan pembaruan vendor serta panduan yang lebih ketat sesegera mungkin untuk mengurangi risiko eksploitasi.”
Cisco telah merilis pembaruan perangkat lunak untuk mengatasi kerentanan tersebut dan mengatakan tidak ada solusi yang dapat sepenuhnya memitigasi masalah ini.
Indikator kompromi
Cisco dan Talos mendesak organisasi untuk secara hati-hati meninjau log pada sistem Pengontrol SD-WAN Catalyst yang terekspos internet untuk mencari tanda-tanda peristiwa peering yang tidak sah dan aktivitas otentikasi yang mencurigakan.
Perusahaan merekomendasikan audit admin /var/log/auth.log untuk entri yang menampilkan “Kunci publik yang diterima untuk vmanage-admin” dari alamat IP yang tidak dikenal:
2026-02-10T22:51:36+00:00 vm sshd[804]: Accepted publickey for vmanage-admin from port [REDACTED PORT] ssh2: RSA SHA256:[REDACTED KEY]
Administrator harus membandingkan alamat IP tersebut dengan IP Sistem terkonfigurasi yang tercantum dalam antarmuka SD-WAN Manager dan dengan infrastruktur manajemen atau pengontrol yang dikenal. Jika alamat IP yang tidak diketahui berhasil diautentikasi, administrator harus mempertimbangkan perangkat mereka untuk disusupi dan membuka kasus Cisco TAC.
Talos dan penasihat pemerintah berbagi indikator tambahan mengenai penyusupan, termasuk pembuatan dan penghapusan akun pengguna berbahaya, login root yang tidak terduga, kunci SSH yang tidak sah di vmanage-admin atau akun root, dan perubahan yang mengaktifkan PermitRootLogin.
Admin juga harus mencari file log yang sangat kecil atau hilang, yang mungkin mengindikasikan adanya gangguan log, dan untuk downgrade dan reboot perangkat lunak, yang mungkin mengindikasikan eksploitasi CVE-2022-20775 untuk mendapatkan hak akses root.
Untuk memeriksa eksploitasi CVE-2022-20775, CISA merekomendasikan analisis log berikut:
/var/volatile/log/vdebug /var/log/tmplog/vdebug /var/volatile/log/sw_script_synccdb.log
Panduan perburuan dan pengerasan CISA menginstruksikan organisasi untuk mengumpulkan artefak forensik, termasuk dump inti admin dan direktori beranda pengguna, dan untuk memastikan log disimpan secara eksternal untuk mencegah gangguan.
Jika akun root telah disusupi, lembaga harus menerapkan instalasi baru daripada mencoba membersihkan infrastruktur yang ada.
Organisasi juga harus memperlakukan peristiwa peering yang tidak terduga atau aktivitas pengontrol yang tidak dapat dijelaskan sebagai indikator potensi kompromi dan segera menyelidikinya.
Baik CISA maupun NCSC Inggris merekomendasikan untuk membatasi paparan jaringan, menempatkan komponen kontrol SD-WAN di belakang firewall, mengisolasi antarmuka manajemen, meneruskan log ke sistem eksternal, dan menerapkan panduan pengerasan Cisco.
Cisco sangat menyarankan peningkatan ke rilis perangkat lunak tetap sebagai satu-satunya cara untuk memulihkan CVE-2026-20127 sepenuhnya.
Masa depan infrastruktur TI telah tiba
Infrastruktur TI modern bergerak lebih cepat dibandingkan dengan alur kerja manual.
Dalam panduan Tines baru ini, pelajari bagaimana tim Anda dapat mengurangi penundaan manual yang tersembunyi, meningkatkan keandalan melalui respons otomatis, dan membangun serta menskalakan alur kerja cerdas di atas alat yang sudah Anda gunakan.
