Remediate Catalyst SD-WAN Security Advisory - Juni 2026

Einleitung

In diesem Dokument werden die Schritte zur Identifizierung und Behebung kritischer Sicherheitslücken im SD-WAN auf der Grundlage der PSIRT-Empfehlungen vom 4. und 15. Juni 2026 beschrieben.

---

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Catalyst SD-WAN-Architektur und Steuerungskomponenten (vManage, vSmart, vBond)
• Cisco Catalyst SD-WAN-Upgrade-Verfahren
• Cisco TAC-Fallmanagement und Verfahren zur Erfassung von Admin-Tech-Daten

Verwendete Komponenten

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

Detaillierte Hintergrundinformationen und die neuesten Updates finden Sie auf der offiziellen PSIRT-Beratungs-Seite.

Diese Ankündigungen finden Sie unter folgenden Links:

• Anfälligkeit für Authentifizierungs-Privilegien durch Cisco Catalyst SD-WAN Controller, Catalyst SD-WAN Manager und Catalyst SD-WAN Validator
• Cisco Catalyst SD-WAN Manager: Schreib-Schwachstelle für beliebige Dateien

Diese Mängel werden durch folgende PSIRT-Ankündigungen behoben:

• Cisco Bug-ID CSCwu18563
• Cisco Bug-ID CSCwu18441

---

Behebungs-Workflow - Übersicht

In diesen Ankündigungen werden zwei Schwachstellen im Cisco Catalyst SD-WAN beschrieben. Die erste (CVE-2026-20245) ist eine Schwachstelle in Bezug auf die Rechteausweitung in SD-WAN-Steuerungskomponenten, für deren Ausnutzung Netzwerkadministratorberechtigungen erforderlich sind. Die zweite (CVE-2026-20262) ist eine beliebige Datei-Schreib-Verwundbarkeit in SD-WAN Manager (vManage), die es einem authentifizierten Benutzer ermöglicht, jede Datei auf dem Dateisystem eines betroffenen Systems zu erstellen oder zu überschreiben.

Sowohl für CVE-2026-20245 als auch für CVE-2026-20262 sind die bekannten Pfade für einen nicht authentifizierten Remote-Angreifer zum Abrufen der erforderlichen Anmeldeinformationen die Nutzung von CVE-2026-20182 (cisco-sa-sdwan-rpa2-v69WY2SW) oder CVE-2026-20127 (cisco-sa-sdwan-rpa-EHchtZk). CVE-2026-20245 erfordert Netadmin-Berechtigungen zum Ausnutzen, während CVE-2026-20262 mindestens ein Benutzerkonto mit niedrigeren Berechtigungen für einen einzelnen Task erfordert.

Wenn Ihre Steuerungskomponenten für beide Ankündigungen auf eine feste Version aktualisiert wurden und Cisco keine potenziellen Indications of Compromise (IoCs) in den Admin-Tech-Dateien identifiziert hat, die Sie für die vorherigen Ereignisse bereitgestellt haben, werden die bekannten nicht authentifizierten Exploit-Pfade für CVE-2026-20245 und CVE-2026-20262 auf diesen spezifischen Geräten basierend auf den überprüften Dateien reduziert. Dies schließt jedoch nicht aus, dass ein Angreifer über gültige Anmeldeinformationen verfügt. Cisco empfiehlt für beide Ankündigungen ein Upgrade auf eine feste Version.

Erforderliche Aktion: Öffnen Sie ein Cisco TAC-Ticket, um diese Sicherheitsempfehlungen zu bearbeiten.

Das TAC ist verfügbar für:

• Bewertung der Umgebung auf Anzeichen für Kompromittierung
• Führen Sie den entsprechenden Behebungspfad basierend auf der Bewertung durch.
• Bereitstellung von Leitlinien für die nächsten Schritte bei der Ermittlung von Indicators of Compromise

1. Sammeln von Admin-Tech- Führen Sie admin-tech für alle Steuerungskomponenten aus (vSmart, vManage, vBond). vSmart admin-techs darf nicht gleichzeitig ausgeführt werden, sondern muss einzeln ausgeführt werden. Alle anderen können in beliebiger Reihenfolge gesammelt werden. Wählen Sie die Optionen Protokoll und Technik aus.  Core ist nicht erforderlich.
2. TAC-Ticket öffnen - Wenden Sie sich an das Cisco TAC, und stellen Sie alle Admin-Tech-Protokollpakete für Steuerungskomponenten zur Verfügung.
3. TAC Assessment - Das TAC führt basierend auf den bereitgestellten Admin-Tech-Dateien eine vorläufige Bewertung der Indications of Compromise in Ihrer Umgebung durch.
4. Durchführung der Problembehebung: Führen Sie ggf. den vom TAC bereitgestellten spezifischen Prozess aus.

---

Schritt 1: Admin-Tech-Dateien von allen Steuerungskomponenten sammeln

Erforderlich: Erfassen Sie vor Upgrades oder Konfigurationsänderungen Admin-Tech-Dateien von allen Steuerungskomponenten, sodass Diagnosedaten und potenzielle Indications of Compromise (IoCs) erhalten bleiben. Diese Dateien werden vom TAC in Schritt 3 verwendet, um Ihre Umgebung zu analysieren.

Sammlung: Wählen Sie für die Administrator-Tech-Generation die Optionen Log und Tech aus. Core ist nicht erforderlich.

1. Führen Sie admin-tech auf ALLEN Controllern (vSmarts) aus - führen Sie diese nicht gleichzeitig aus. eine nach der anderen abholen
2. Admin-Tech auf ALLEN Managern (vManages) ausführen
3. Admin-Tech auf ALLEN Validatoren (vBonds) ausführen

Admin-Tech in einer SD-WAN-Umgebung erfassen und in ein TAC-Ticket hochladen

Alternative: Manuelle Überprüfung (nur wenn Admin-Tech nicht erfasst werden kann)

Wenn Sie Admin-Tech-Dateien nicht freigeben können, steht ein manueller Überprüfungsschritt zur Verfügung. Dieser Schritt enthält einen vorläufigen Indikator, der dokumentiert und an das TAC weitergegeben werden muss.

Eine detaillierte Vorgehensweise finden Sie im Abschnitt Manuelle Verifizierung am Ende dieses Dokuments. Dokumentieren Sie alle Ergebnisse, und stellen Sie sie dem TAC in Ihrem Supportfall zur Verfügung.

---

Phase 2: TAC-Ticket öffnen und Admin-Tech-Dateien hochladen

Nach dem Sammeln der Admin-Techniker in Schritt 1 öffnen Sie ein Cisco TAC-Support-Ticket und laden die gesammelten Admin-Tech-Dateien hoch. Das TAC analysiert die Admin-Technologien auf Indicators of Compromise, die mit beiden Advisories (CVE-2026-20245 und CVE-2026-20262) in Verbindung stehen.

Erforderliche Aktionen:

1. Öffnen Sie ein TAC-Ticket mit Schweregrad 3 mit "CVE-2026-20245, CVE-2026-20262" und den Beratungs-IDs cisco-sa-sdwan-privesc-4uxFrdzx und cisco-sa-sdwan-arbfw-c2rZvQ im Titel, um die Analyse.
2. Laden Sie ALLE in Schritt 1 gesammelten Admin-Tech-Protokollpakete hoch (Controller, Manager und Prüfer).
3. Warten Sie, bis das TAC die Analyse abgeschlossen und die Ergebnisse kommuniziert hat.

Schritt 3: TAC-Analyse

Das TAC führt eine vorläufige Analyse der Admin-Tech-Dateien durch, die Sie in Schritt 2 hochgeladen haben, und bewertet sie auf Indicators of Compromise, die mit beiden Adminstratoren (CVE-2026-20245 und CVE-2026-20262) in Verbindung stehen.

Bei der Beratung CVE-2026-20245 konzentriert sich die Analyse auf einen bestimmten Protokolleintrag in /var/log/scripts.log für jede Steuerungskomponente (vManage, vSmart und vBond). Da der zugrunde liegende Befehl legitim ist und das Protokoll nicht zwischen legitimer und böswilliger Verwendung unterscheidet, müssen alle übereinstimmenden Einträge manuell vom TAC auf den normalen Betriebsstatus überprüft werden, bevor sie als bestätigter Indikator behandelt werden.

Für das Advisory CVE-2026-20262 konzentriert sich die Analyse auf mehrere Dateien im /var/log/nms-Verzeichnis jedes Managers (vManage). In einigen Fällen können diese Indications of Compromise während Standardoperationen auftreten. 

In diesen Protokollen wird nicht zwischen legitimer und böswilliger Verwendung unterschieden. Alle übereinstimmenden Einträge müssen daher vom TAC anhand des normalen Betriebsstatus überprüft werden, bevor sie als bestätigter Indikator behandelt werden.

Mögliche Ergebnisse der TAC-Analyse:

• Keine übereinstimmenden Protokolleinträge identifiziert — basierend auf den überprüften admin-tech-Dateien wurden keine Indikatoren beobachtet, die mit einer der Empfehlungen in Zusammenhang standen. Derzeit sind keine weiteren Maßnahmen speziell für diese Ratgeber erforderlich. Das Ergebnis ist auf die empfangenen Admin-Tech-Dateien beschränkt und hängt von der Protokollaufbewahrungszeit auf jedem Gerät ab.
• Übereinstimmende Protokolleinträge identifiziert — TAC beauftragt den Benutzer mit zusätzlichen Überprüfungsschritten. Für beide Ankündigungen wird ein Upgrade auf eine feste Version empfohlen. Aufgrund der Art der Ratschläge können auch zusätzliche Maßnahmen erforderlich sein. Die TAC-Richtlinien für bestätigte Kompromittierungsszenarien werden in den entsprechenden TechZone-Artikeln dokumentiert, auf die in Schritt 4 verwiesen wird.

Schritt 4: Wenn Anzeichen für eine Kompromittierung erkannt werden — befolgen Sie die TAC-Richtlinien

Wenn das TAC Anzeichen für eine Kompromittierung im Zusammenhang mit diesen Beratern in Ihrer Umgebung identifiziert, setzt sich das TAC mit Ihnen in Verbindung. Befolgen Sie alle Anweisungen des TAC.

Wenn für keines der Gutachten Anzeichen für eine Kompromittierung ermittelt werden, sind derzeit keine weiteren Maßnahmen speziell für die Kompromittierung erforderlich, die auf den überprüften Admin-Tech-Dateien basieren. Ein Upgrade auf eine feste Version für beide Advisories wird weiterhin dringend empfohlen.

---

Fest implementierte Softwareversionen

Diese Softwareversionen enthalten Korrekturen für die identifizierten Schwachstellen:

Gilt für aktuelle Versionen	Feste Version	Verfügbare Software
20.9.9.1 und frühere Versionen	20.9.9.2	20.9.9.2 Upgrade-Images für vManage, vSmart und vBond
20.12.7.1 und frühere Version	20.12.7.2	20.12.7.2 Upgrade-Images für vManage, vSmart und vBond
20.15.4.4 und frühere Versionen	20.15.4.5	20.15.4.5 Upgrade-Images für vManage, vSmart und vBond
20.15.5.2 und frühere Versionen	20.15.5.3	20.15.5.3 Upgrade-Images für vManage, vSmart und vBond
20.16, 20.17, 20.18.x	20.18.3.1	20.18.3.1 Upgrade-Images für vManage, vSmart und vBond
26.1	26.1.1.2	26.1.1.2 Upgrade-Images für vManage, vSmart und vBond

Wichtige Hinweise:

• Upgrade-Matrix
• Controller-Kompatibilitätsmatrix
• Remediate Catalyst SD-WAN Security Advisory - Mai 2026
• Remediate Catalyst SD-WAN Security Advisory, Februar 2026
• Sicherheitslücke bei Authentifizierung des Cisco Catalyst SD-WAN-Controllers umgangen (14. Mai 2026)

---

Überlegungen

Nach Abschluss einer erfolgreichen Sanierung und basierend auf Ihren spezifischen Sicherheitsanforderungen empfiehlt Cisco, dass Sie die hier aufgeführten Hygienemaßnahmen evaluieren und entsprechend handeln. Diese Aktivitäten gelten unabhängig von der gewählten Behebungsoption. Sie werden von Benutzern verwaltet. Cisco leitet und führt diese nicht in Ihrem Namen durch.

• Überprüfung aller lokalen Benutzerkonten
• Rotation der Mandate
• Rotation von eventuell vorhandenen Geheimnissen in Gerätekonfigurationen, z. B. (nicht erschöpfende Liste):
  • Anmeldeinformationen für lokale Benutzerkonten
  • SNMP-Gemeinschaftszeichenketten
  • TACACS - geheime Schlüssel
  • VPN Pre-Shared Keys und Zertifikate
  • Vertrauenswürdige SSH-Schlüssel
• Überprüfen von Konfigurationsvorlagen

Edge-Geräte - Verdächtige Kompromittierung

Cisco empfiehlt keinen bestimmten Wiederherstellungspfad. die Auswahl einer Sanierungsoption liegt bei jedem Kunden. 

Der richtige Befehl zum Durchführen eines sicheren Zurücksetzens auf die Werkseinstellungen lautet:

factory-reset all secure

---

Anhang: Manuelle Verifizierungsschritte (nur wenn Admin-Tech-Erfassung nicht möglich)

Verifizierung für CVE-2026-20245: Überprüfen Sie scripts.log auf jeder Steuerelementkomponente auf Datei-Upload-Einträge.

Laut PSIRT-Empfehlung sollten Benutzer Protokolldateien auf Einträge überprüfen, die diesem Beispiel ähneln. Ab Version 20.9 befindet sich dieser Eintrag in scripts.log unter /var/log/. Bei Versionen vor 20.9 finden sich die entsprechenden Daten in vdebug logs unter /var/log/tmplog/:

Apr 15 09:44:57 vmanage vScript: Tenant list upload per vsmart serial number: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0

Schritt 1: Greifen Sie auf jede Steuerungskomponente auf vshell zu, und durchsuchen Sie die entsprechenden Protokolldateien nach CVE-2026-20245-Indikatoren.

Der Speicherort der Protokolldatei hängt von der Softwareversion ab, die auf der Steuerungskomponente ausgeführt wird. Ermitteln Sie vor dem Ausführen der Suche, was auf Ihre Umgebung zutrifft.

Version 20.9 und höher — Search scripts.log in the /var/log/tmplog/:

Wechseln Sie von der vManage-CLI in vshell, und führen Sie Folgendes aus:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/scripts.log*

Versionen vor 20.9 — Suche nach vdebug-Protokollen in /var/log/tmplog/:

Bei Versionen vor 20.9 ist scripts.log nicht vorhanden. Die entsprechenden Protokolldaten werden in /var/log/tmplog/vdebug geschrieben. Bis zu fünf fortlaufende nummerierte Dateien werden beibehalten (vdebug, vdebug.1 bis vdebug.5). Alle aktiven Dateien durchsuchen mit:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/tmplog/vdebug*

Zusätzlich zu den aktiven Dateien werden ältere Protokolle als komprimierte TAR-Dateien in /var/log/ unter Verwendung des Namensmusters vdebug_<timestamp>.tar.gz archiviert, wobei die Protokolldaten im Archiv unter var/log/tmplog gespeichert werden. Alle Archive durchsuchen mit:

for f in /var/log/vdebug_*.tar.gz; do echo "=== $f ==="; tar -xOf "$f" var/log/tmplog 2>/dev/null | grep "vconfd_script_upload_tenant_list.sh"; done

Wiederholen Sie alle anwendbaren Prüfungen für jede Steuerungskomponente in der Bereitstellung (einschließlich aller Cluster-Elemente und aller DR-gepaarten vManage).

Phase 2: Interpretation der Ergebnisse und Dokumentation für das TAC

Wenn KEINE übereinstimmenden Einträge zurückgegeben werden:

• In der Protokolldatei auf diesem Gerät wurden keine Anzeichen für eine Kompromittierung im Zusammenhang mit dieser Meldung festgestellt.
• Dokumentieren Sie dieses Ergebnis für Ihren TAC-Fall (geben Sie den Hostnamen des Geräts und das Datum/den Bereich der durchsuchten Protokolldateien an).
• Überprüfen Sie weiterhin die verbleibenden Manager.

Wenn übereinstimmende Einträge zurückgegeben werden:

• Jeder passende Eintrag muss mit Ihrem normalen Betriebsstatus abgeglichen werden. Der zugrunde liegende Befehl (Hochladen der Tenant-Liste) ist legitim und wird bei Routinevorgängen angezeigt.
• Erfassen Sie für jeden passenden Eintrag den Zeitstempel, die vollständige Protokollzeile und den Dateipfad, auf den nach dem -CLI-Pfad verwiesen wird.
• Wenn ein übereinstimmender Eintrag nicht mit einem bekannten, legitimen Vorgang abgeglichen werden kann, ist dies ein potenzieller Indikator für eine Kompromittierung. Dokumentieren Sie die Ergebnisse, und stellen Sie sie dem TAC zur Überprüfung zur Verfügung.
• Dokumentieren Sie alle Ergebnisse, und öffnen Sie ein TAC-Ticket. Schließen Sie die übereinstimmenden Protokolleinträge und die Ausgabe des Quellbefehls in Ihren Fall ein.
• Das TAC führt die offizielle Bewertung durch. Wenn bei der Bewertung Anzeichen für eine Kompromittierung festgestellt werden, beachten Sie den in den entsprechenden TechZone-Dokumenten beschriebenen Ablauf: und Sanierungsleitfäden.

Verifizierung für CVE-2026-20262: Überprüfen Sie die Protokolldateien auf jedem Manager (vManage) auf willkürliche Schreibeinträge.

Gemäß der PSIRT-Ankündigung wird den Benutzern empfohlen, diese Protokolldateien auf jedem Manager (vManage) auf Einträge zu überprüfen, die den folgenden Beispielen ähneln:

Beispiel für einen verdächtigen Eintrag in vmanage-server.log (unter /var/log/nms/)

11-June-2026 03:53:37,310 EDT INFO  [a66cdc5f-807d-4c23-944e-5c809a2ece6b] [server] [SdraAnyConnectFileUploadHandler] (default task-40704) |default| uploaded Remote Access Anyconnect profile file: ../../../../var/lib/wildfly/standalone/deployments/suspicious.war to vManage.

Beispiel für einen verdächtigen Eintrag in vmanage-appserver.log (unter /var/log/nms/)

11-June-2026 07:52:55,275 UTC INFO  [server] (DeploymentScanner-threads - 2) WFLYSRV0010: Deployed "suspicious.war" (runtime-name : "suspicious.war")

Beispiel für einen verdächtigen Eintrag in serviceproxy-access.log (unter /var/log/nms/containers/service-proxy/)

POST /suspicious/index.jsp HTTP/1.1

Schritt 1: Rufen Sie vshell auf jedem Manager (vManage) auf, und durchsuchen Sie die Protokolldateien.

Wechseln Sie von der vManage-CLI in vshell, und führen Sie Folgendes aus:

vs
zgrep "SdraAnyConnectFileUploadHandler" /var/log/nms/vmanage-server.log*
zgrep "WFLYSRV0010" /var/log/nms/vmanage-appserver.log*

In einigen Versionen ist das Protokoll service-proxy direkt von vshell aus zugänglich. Bei Versionen, bei denen Root-Shell-Zugriff erforderlich ist, laden Sie die Datei admin-tech herunter, und durchsuchen Sie die darin enthaltenen serviceproxy-access.log-Dateien auf die gleiche Weise, indem Sie einen Befehl ähnlich dem folgenden verwenden:

Version 20.9 und höher:

tar -xOf .tar.gz var/log/nms/containers/service-proxy/serviceproxy-access.log 2>/dev/null | grep "suspicious"

Versionen vor 20.9:

tar -xOf .tar.gz var/log/nms/serverproxy-access.log 2>/dev/null | grep "suspicious"

Wenn Sie direkt von vshell aus zugreifen, verwenden Sie anstelle von verdächtigen Dateien den Dateinamen .war, der aus den Ergebnissen der beiden vorherigen Befehle (ohne die Erweiterung) ermittelt wurde:

Version 20.9 und höher:

zgrep "POST" /var/log/nms/containers/service-proxy/serviceproxy-access.log* | grep "suspicious"

Versionen vor 20.9:

zgrep "POST" /var/log/nms/serverproxy-access.log* | grep "suspicious"

Wiederholen Sie die Prüfung für alle vManage in der Bereitstellung (einschließlich aller Cluster-Mitglieder und aller DR-gepaarten vManage).

Phase 2: Interpretation der Ergebnisse und Dokumentation für das TAC

Wenn KEINE übereinstimmenden Einträge zurückgegeben werden:

• In den Protokolldateien auf diesem Gerät wurden keine Anzeichen für eine Kompromittierung im Zusammenhang mit dieser Meldung festgestellt.
• Dokumentieren Sie dieses Ergebnis für Ihren TAC-Fall (geben Sie den Hostnamen des Geräts und das Datum/den Bereich der durchsuchten Protokolldateien an).
• Überprüfen Sie weiterhin die verbleibenden Manager.

Wenn übereinstimmende Einträge zurückgegeben werden:

• Jeder passende Eintrag muss mit Ihrem normalen Betriebsstatus abgeglichen werden. Diese Einträge können während Standardvorgängen auftreten und bestätigen die Kompromittierung nicht von sich aus.
• Erfassen Sie für jeden passenden Eintrag in vmanage-server.log den Zeitstempel, die vollständige Protokollzeile und den Dateipfad, auf den im Upload-Handler verwiesen wird.
• Wenn ein übereinstimmender Eintrag nicht mit einem bekannten, legitimen Vorgang abgeglichen werden kann, ist dies ein potenzieller Indikator für eine Kompromittierung. Dokumentieren Sie die Ergebnisse, und stellen Sie sie dem TAC zur Überprüfung zur Verfügung.
• Dokumentieren Sie alle Ergebnisse, und öffnen Sie ein TAC-Ticket. Schließen Sie die übereinstimmenden Protokolleinträge und die Ausgabe des Quellbefehls in Ihren Fall ein.
• Das TAC führt die offizielle Bewertung durch. Wenn bei der Bewertung Anzeichen für eine Kompromittierung festgestellt werden, beachten Sie den in den entsprechenden TechZone-Dokumenten beschriebenen Ablauf: und Sanierungsleitfäden.

---

Häufig gestellte Fragen

F: Was ist der erste Schritt, um diese Sicherheitsankündigungen umzusetzen?

A : Sammeln Sie vor Upgrades oder Konfigurationsänderungen Admin-Tech-Dateien von allen Steuerungskomponenten (vSmart, vManage, vBond), um Diagnosedaten und potenzielle Indications of Compromise beizubehalten. Öffnen Sie dann ein Cisco TAC-Ticket, und laden Sie die Admin-Techniker hoch, damit das TAC sie analysieren kann.

F: Hat Cisco einen Software-Fix für diese Sicherheitslücken veröffentlicht?

A : Ja, feste Versionen sind für beide Advisories verfügbar, wie im Abschnitt Fixed Software Versions aufgeführt. Es gibt keine Problemumgehungen.

F: Warum empfiehlt Cisco, über das Upgrade hinaus Maßnahmen zu ergreifen?

A : Die Ausnutzung dieser Schwachstellen erfordert einen authentifizierten Benutzer. Ein nicht authentifizierter Angreifer kann diese Anmeldeinformationen nur über gültige Anmeldeinformationen oder durch die Ausnutzung von CVE-2026-20182 oder CVE-2026-20127 erhalten. Wenn Kontrollkomponenten auf die festen Versionen für diese früheren Advisories aktualisiert werden, werden die bekannten nicht authentifizierten Pfade adressiert, um die erforderlichen Berechtigungen zum Ausnutzen dieser Schwachstellen zu erhalten. Anhand der admin-tech-Analyse in Schritt 3 kann festgestellt werden, ob in den überprüften Dateien Anzeichen für eine Kompromittierung vorhanden sind.

F: Muss ich Admin-Techniker von allen Steuerungskomponenten sammeln?

A : Ja. Das TAC benötigt Admin-Tech-Dateien von allen Controllern (vSmart, jeweils eine erfasst), allen Managern (vManage) und allen Validatoren (vBond), um die Analyse durchzuführen.

F: Wie ermittelt das TAC, ob für mein System Indications of Compromise im Zusammenhang mit diesen Advisories vorliegen?

A : Das TAC überprüft die Admin-Tech-Dateien auf spezifische Indications of Compromise für die einzelnen Gutachten. Für die Privilegien-Eskalationsberatung (CVE-2026-20245) sucht TAC in /var/log/scripts.log nach bestimmten Protokolleinträgen für jede Steuerungskomponente. Für die Schreibwarnung für beliebige Dateien (CVE-2026-20262) sucht TAC in drei Protokolldateien auf jedem Manager nach bestimmten Protokolleinträgen: /var/log/nms/vmanage-server.log, /var/log/nms/vmanage-appserver.log und /var/log/nms/containers/service-proxy/serviceproxy-access.log. In beiden Fällen kann die zugrunde liegende Aktivität bei Standardoperationen auftreten. Alle übereinstimmenden Einträge werden vom TAC anhand Ihres normalen Betriebsstatus überprüft, bevor sie als bestätigter Indikator behandelt werden.

F: Was passiert, wenn Anzeichen für eine Kompromittierung erkannt werden?

A : TAC setzt sich mit Ihnen in Verbindung. Das Upgrade allein löst einen bestätigten Kompromiss nicht. Die TAC-Richtlinien basieren auf den in den entsprechenden TechZone-Artikeln für die Ratgeber vom Mai 2026 und Februar 2026 dokumentierten Datenströmen.

F: Sind Edge-Router (Cisco IOS XE) von diesen Empfehlungen betroffen?

A : Diese Empfehlungen betreffen in erster Linie die Cisco Catalyst SD-WAN-Steuerungskomponenten. Für die Privilegien-Eskalationsberatung (CVE-2026-20245) sind alle Steuerungskomponenten (vManage, vSmart, vBond) betroffen, und Cisco hat Fälle beobachtet, in denen die Ausnutzung dazu geführt hat, dass Konfigurationsänderungen an Edge-Geräte übertragen wurden. Benutzer werden aufgefordert, die Konfiguration ihrer Edge-Geräte zu überprüfen. Bei der Schreibwarnung für beliebige Dateien (CVE-2026-20262) ist die Schwachstelle auf das SD-WAN Manager-Dateisystem beschränkt und hat keine direkten Auswirkungen auf Edge-Geräte.

F: Welche Bereitstellungsarten sind betroffen?

A : Gemäß diesen Empfehlungen betreffen diese Schwachstellen alle Cisco Catalyst SD-WAN-Bereitstellungsarten, unabhängig von der Gerätekonfiguration, einschließlich Bereitstellung am Standort, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) und Cisco SD-WAN for Government (FedRAMP).

F: Ich habe die Ankündigungen für Mai 2026 und Februar 2026 bereits aktualisiert, und es wurden keine Anzeichen für eine Kompromittierung für diese Ereignisse ermittelt. Bin ich diesen neuen Sicherheitslücken ausgesetzt?

A : Wenn Ihre Steuerungskomponenten eine feste Version für CVE-2026-20182 und CVE-2026-20127 ausführen und in den überprüften Admin-Tech-Dateien keine Anzeichen für eine Kompromittierung für diese vorherigen Ereignisse identifiziert wurden, werden die bekannten nicht authentifizierten Exploit-Pfade für CVE-2026-20245 und CVE-2026-20262 auf diesen spezifischen Geräten reduziert, basierend auf die überprüften Dateien. Dies schließt jedoch nicht aus, dass ein Angreifer über gültige Anmeldeinformationen verfügt. Cisco empfiehlt für diese Ankündigungen ein Upgrade auf eine feste Version.

F: Kann ich die Überprüfung selbst durchführen, anstatt auf das TAC zu warten?

A : Benutzer, die Admin-Technik nicht gemeinsam nutzen können, können den im Anhang beschriebenen manuellen Verifizierungsschritt durchführen. Das Ergebnis ist vorläufig. die Ergebnisse zu dokumentieren und sie mit dem TAC zu teilen, der die offizielle Bewertung durchführt.

F: Welche allgemeinen Best Practices gelten für die Härtung meines SD-WAN-Overlays?

A : Best Practices finden Sie im Cisco Catalyst SD-WAN Hardening Guide.

F: Bietet das Cisco TAC forensische Analyse- oder Ermittlungsservices für diese Sicherheitslücken?

A : Das Cisco TAC kann Benutzer unterstützen, indem es Admin-Tech-Dateien auf die Indications of Compromise überprüft, die in beiden PSIRT-Ratgebern dokumentiert sind. Das Cisco TAC führt keine umfassenden forensischen Analysen oder Vorfalluntersuchungen durch. Für umfassende forensische Arbeiten oder detaillierte Sicherheitsuntersuchungen wird empfohlen, dass die Benutzer sich an ihre bevorzugte externe Incident Response (IR)-Firma wenden.