事件背景：Cisco 核心组件再现满分漏洞
近日，美国网络安全与基础设施安全局（CISA）正式将 Cisco Catalyst SD-WAN 中的高危漏洞 CVE-2026-20182 加入其“已知被利用漏洞（KEV）”目录。该漏洞 CVSS 评分高达 10.0，涉及 Cisco Catalyst SD-WAN Controller（原 vSmart）及 Manager（原 vManage）组件。
从我们的应急响应经验来看，针对 SD-WAN 这种承载企业网络流量“大动脉”的设备，攻击者往往有着极强的针对性。一旦控制了控制器，就意味着整个 SD-WAN 网络架构的配置权落入他人之手，其威胁程度不言而喻。
攻击链分析：从握手到配置篡改
CVE-2026-20182 的核心问题在于 SD-WAN 控制连接握手与对等体认证过程中的验证失效。攻击者无需任何认证凭据，即可通过向目标设备发送精心构造的数据包，完成以下攻击链：
- 绕过认证：利用对等体认证机制的缺陷，直接欺骗系统，使攻击者以内部高权限非 root 账户身份登录。
- 权限提升与访问：利用该内部账户访问 NETCONF 服务。
- 网络接管：通过 NETCONF 接口，攻击者可以直接修改整个 SD-WAN Fabric 的网络配置，实现对流量的劫持、监控或阻断。
值得注意的是，研究人员指出该漏洞虽然与此前曝光的 CVE-2026-20127 发生在同一组件（vdaemon 服务）和相似的协议栈（DTLS），但并非简单的补丁绕过，而是一个独立的新漏洞。这一环节是很多企业容易忽视的，往往认为修补了一个漏洞就万事大吉，却忽略了同一组件下可能存在的深层逻辑缺陷。
技术手法解析：为何难以防范？
该漏洞的本质是“信任关系的滥用”。在 SD-WAN 环境中，控制器之间的通信高度依赖预设的信任机制。攻击者通过伪装成合法的对等体，利用 vdaemon 服务在处理 DTLS 握手时的逻辑漏洞，成功将攻击者的公钥注入到管理员账户的 SSH 授权文件中。
一旦攻击者成功写入公钥，他们便能以 vmanage-admin 的身份，通过 TCP 830 端口直接进行 SSH 登录，从而获得对系统的完全控制权。在实际环境中，这种“合法通道被恶意利用”的手法，往往能绕过传统的边界防火墙检测。
安全建议与 Solar 经验分享
类似针对网络基础设施的攻击近年来明显增加，攻击者正从传统的终端攻击转向更底层的网络设备控制。针对此次事件，Solar 应急响应团队建议：
- 立即升级：请受影响的用户尽快核对资产版本，并按照 Cisco 官方发布的补丁指引完成软件升级。
- 强化访问控制：严格限制对 SD-WAN 控制器管理接口（特别是 NETCONF 端口）的访问权限，避免将其暴露在互联网上。
- 流量审计：部署网络流量分析设备，重点监控针对 UDP 12346 端口的异常握手请求，以及针对 TCP 830 端口的非预期 SSH 连接行为。
- 应急响应准备：建立针对网络核心设备的定期巡检机制，及时关注 CISA KEV 目录更新，确保在漏洞披露后的第一时间完成资产排查。
对于企业而言，网络边界已经不再仅仅是防火墙，SD-WAN 的控制器就是新的“心脏”。保护好它，就是保护企业业务的连续性。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com