Catalyst SD-WANセキュリティアドバイザリの修正 – 2026年9月

概要

このドキュメントでは、2026年9月30日のPSIRTアドバイザリに記載されている日付に従って、重要なSD-WANセキュリティの脆弱性を特定して修正する手順について説明します。シスコでは、この問題を修正するために、修正済みソフトウェアリリースにアップグレードすることを強く推奨します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Catalyst SD-WANアーキテクチャおよび制御コンポーネント(Manager、Controller、Validator)
• Cisco Catalyst SD-WANのアップグレード手順
• Cisco TAC Case ManagementおよびAdmin-Tech収集手順

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

詳細な背景情報と最新のアップデートについては、PSIRTの公式アドバイザリページを参照してください。

このアドバイザリは、次のリンク先で確認できます。

• Cisco Catalyst SD-WAN ManagerのAPI認証バイパスに関する脆弱性(CVE-2026-76504、CWE-177) セキュリティ影響評価：重要（CVSS基本スコア9.8）。

この不具合は、次のPSIRTアドバイザリで説明されています。

• Cisco Bug ID CSCww79570

このアドバイザリは、Cisco Catalyst SD-WAN Manager(vManage)に影響を与えます。

是正ワークフローの概要

必要な処置：すべてのCatalyst SD-WAN Managerからadmin-techsを収集し、すべてを修正済みリリースにアップグレードし、Cisco TACでケースをオープンして、admin-techsでセキュリティ侵害のインジケータをスキャンできるようにします。

TACは次のユーザが利用できます。

• セキュリティ侵害の指標に関して提供した管理テクノロジーをスキャンする
• アップグレード中に問題が発生した場合は、アップグレードサポートを提供します
• セキュリティ侵害の指標が特定された場合は、追加の修復方法を案内します。

1. Admin-Techの収集:診断データが失われないように、アップグレードの前に、クラスタおよびディザスタリカバリ(DR)導入のすべてのノードを含むすべてのCatalyst SD-WAN Managerでadmin-techを実行します。Log and Tech optionsを選択します。コアは必要ありません。
2. 修正済みリリースへのアップグレード：すべてのManager(vManage)を、「修正済みソフトウェアバージョン」表に記載されている修正済みソフトウェアバージョンにアップグレードします。
   

   注:TACスキャン結果を待たずにアップグレードを実行してください。修正済みリリースへのアップグレードは最も優先度が高く、この脆弱性を解消します。ステップ3のTACスキャンで、アップグレード後にさらなるアクションが必要かどうかが判断されます。

3. TACケースを開き、セキュリティ侵害の指標をスキャンするAdmin-Techをアップロードする:Cisco TACケースを開き、ステップ1で収集したすべてのAdmin-Techログバンドルをアップロードします。TACは管理テクノロジーをスキャンして、セキュリティ侵害の痕跡を検出します。
4. セキュリティ侵害が特定された場合は、TACガイダンスを使用します。TACがお客様の環境でセキュリティ侵害の指標を特定した場合は、TACが提供するすべての修復ガイダンスに従います。セキュリティ侵害の兆候が見つからない場合は、アップグレード以外のアクションは必要ありません。

ステップ1：すべてのマネージャからのAdmin-Techファイルの収集

必須：診断データが失われないように、アップグレードの前にすべてのマネージャ(vManage)からadmin-techファイルを収集します。これらのファイルは、TACがステップ3で環境をスキャンして侵害の痕跡を検出するために使用されます。

コレクション：

1. ALL Managers(vManage)でadmin-techを実行します。
2. マネージャがクラスタとして実行されている場合は、すべてのクラスタメンバーでadmin-techを実行します。
3. ディザスタリカバリ(DR)を導入している場合は、プライマリとDRサイトの両方のすべてのマネージャでadmin-techを実行します。

SD-WAN環境でのAdmin-Techの収集とTACケースへのアップロード

代替：手動検証（Admin-Techを収集できない場合のみ）

admin-techファイルを共有できない場合は、手動の検証手順を使用できます。これらの手順は、文書化してTACと共有する必要がある暫定的な指標を提供します。

詳細な手順については、このドキュメントの最後にある「手動による確認手順」のセクションを参照してください。調査結果をすべて文書化し、サポート案件でTACに提供します。

ステップ2：修正済みソフトウェアバージョンへのアップグレード

ステップ1で管理テクニックを収集した後、すべてのマネージャ(vManage)を修正済みソフトウェアバージョンにアップグレードします。

このドキュメントの「修正済みソフトウェアバージョン」の表から適切なバージョンを選択します。

vManage GUIまたはCLIを使用したSD-WANコントローラのアップグレード

ステップ3:TACケースを開き、スキャン用のAdmin-Techファイルをアップロードする

ステップ2でアップグレードを行った後、Cisco TACサポートケースをオープンし、ステップ1で収集したadmin-techファイルをアップロードします。TACは管理テクノロジーをスキャンして、セキュリティ侵害の痕跡を検出します。

必要なアクション：

1. タイトルに「CVE-2026-76504」というCVE-IDを使用して重大度3 TACのケースをオープンし、スキャニングプロセスを開始します。
2. ステップ1で収集したすべてのadmin-techログバンドル（クラスタおよびDRノードを含むすべてのマネージャ）をアップロードします。
3. TACがスキャンを完了し、結果を通知するまで待ちます。

ステップ4：セキュリティ侵害が特定された場合 – TACガイダンス

お客様の環境におけるセキュリティ侵害の痕跡がTACによって特定されると、TACから具体的な修復ガイダンスが提供されます。TACが提供するすべての指示に従ってください。

侵害の兆候が見られない場合は、ステップ2で完了したアップグレードで十分であり、それ以上の修復は必要ありません。

修正済みソフトウェアバージョン

これらのソフトウェアリリースには、この脆弱性に対する修正が含まれています。現在のリリーストレインの最初の修正済みリリースにアップグレードします。

Cisco Catalyst SD-WAN ソフトウェアリリース	第 1 修正済みリリース	利用可能なソフトウェア
20.91 よりも前	修正済みリリースに移行。
20.9	20.9.10.1	20.9.10.1 vManage用アップグレードイメージ
20.12	20.12.8.2	20.12.8.2 vManage用アップグレードイメージ
20.15	20.15.6.1	20.15.6.1 vManage用アップグレードイメージ
20.18	20.18.4.1	20.18.4.1 vManage用アップグレードイメージ
26.1	26.1.2.1	26.1.2.1 vManageのアップグレードイメージ
26.2	26.2.1	26.2.1 vManageのアップグレードイメージ

¹これらのリリースは、ソフトウェアメンテナンスが終了しています。シスコでは、サポートされているリリースにアップグレードすることを強く推奨します。

Cisco Product Security Incident Response Team(PSIRT)は、このアドバイザリに記載されている該当リリースと修正済みリリースの情報のみを検証します。

重要な参考資料

• アップグレードマトリックス
• コントローラ互換性マトリクス

付録：手動による検証手順（Admin-Tech収集ができない場合のみ）

要件：これらの手順は、すべてのManager(vManage)で実行する必要があります。これには、ディザスタリカバリ(DR)サイトのすべてのクラスタメンバーとManagerが含まれます。vshellからログファイル（Manager CLIからvshell）にアクセスし、現在のログファイルとローテーションされたログファイルの両方を確認します。

セキュリティ侵害の指標を特定する方法

このアドバイザリには、侵害の痕跡が2つあります。両方とも、不明または不正なIPアドレスから要求の文字がエンコードされるj_security_checkのエントリに関連します（例： /%6a_security_check）。

指標	ログファイル	意味	確認
エンコードされたj_security_check要求を受信しました	/var/log/nms/containers/service_proxy/serviceproxy-access.log*	クライアントがこのタイプの要求をマネージャに送信しました。	検証 1
エンコードされたj_security_check要求がviptela-reserved-*ユーザーに対して処理されました	/var/log/nms/vmanage-server.log*	マネージャは、viptela-reserved-*ユーザ（予約済みのシステムサービスアカウント）に対してこのタイプの要求を処理しました。	検証 2

検証1：サービスプロキシアクセスログの監査

次の例に示すように、不明または不正なIPアドレスからのj_security_checkに関連するエントリについて、/var/log/nms/containers/service_proxy/serviceproxy-access.logにあるserviceproxy-access.logファイルを監査します。

[2026-09-29T23:11:13.948-05:00] "POST /%6a_security_check HTTP/1.1" 200 - 48 0 4 - "10.10.10.47,192.168.1.174" "Mozilla/5.0" "92980fc6-bb3c-4b67-8a6d-af5ceb236d4c" "vmanage-9999.example.com" "127.0.0.1:8080"

vManageシステムの一部のログファイルは、ルートアクセスの背後で制限され、お客様が直接アクセスすることはできません。これらのログを確認するには、admin-techファイルを生成する必要があります。

TACの結果とドキュメントの解釈

該当するエントリが見つからない場合：

• このマネージャのこのログにはセキュリティ侵害のインジケータは検出されませんでした
• この結果をTACケースに文書化します。
• 検証2を続行し、残りのマネージャで両方の検証を繰り返します

このようなエントリが見つかった場合：

• 示されている各送信元IPアドレスを注意深く調べます
• 不明または不正なIPアドレスからのエントリを探します。送信元IPが環境内の許可されたアクティビティに属しているかどうかを確認する（たとえば、実行する脆弱性スキャンまたは侵入テスト）
• 送信元IPが正当なものであると特定できない場合、侵害の潜在的なインジケータを示している可能性があります
• すべての調査結果を文書化し、TACサービスリクエストを直ちにオープンする
• ログエントリ、タイムスタンプ、送信元IP、およびHTTPステータスコードをケースに含めます
• TACが公式評価の決定を行う

検証2:Manager Serverログの監査

/var/log/nms/vmanage-server.logにあるvmanage-server.logファイルを監査して、不明または不正なIPアドレスからのj_security_checkに関連するエントリ、特にviptela-reserved – で始まる名前を含むユーザに対して呼び出されているエントリを調べます。次に例を示します。

29-Sep-2026 23:11:13,952 CDT [] [vManage-new] [UserUtils] (default task-127462) |default| Request Stored in Map is (/%6a_security_check) for user (viptela-reserved-..)

TACの結果とドキュメントの解釈

該当するエントリが見つからない場合：

• このマネージャのこのログにはセキュリティ侵害のインジケータは検出されませんでした
• この結果をTACケースに文書化します。
• 残りのマネージャに対して両方の検証を繰り返します。

このようなエントリが見つかった場合：

• これは、セキュリティ侵害の潜在的な兆候を示している可能性があります
• すべての調査結果を文書化し、TACサービスリクエストを直ちにオープンする
• ケースにログエントリとタイムスタンプを、同じ期間の検証1の結果とともに含めます
• TACが公式評価の決定を行う

よく寄せられる質問（FAQ）

このセキュリティアドバイザリに対処するための最初のステップは何ですか。

すべてのマネージャ(vManage)からadmin-techファイルを収集し、すべてのマネージャを修正済みソフトウェアバージョンにアップグレードします。アップグレードが完了したら、TACケースを開き、管理手順をアップロードします。これにより、TACが環境をスキャンして侵害の痕跡を検出できます。

このアドバイザリの影響を受けるコンポーネントはどれですか。

この脆弱性に該当するのは、Cisco Catalyst SD-WAN Manager(vManage)だけです。

コントローラ、バリデータ、またはエッジルータもアップグレードする必要がありますか。

いいえ。このアドバイザリには対応していません。すべてのManager(vManage)を修正済みのリリースにアップグレードし、コントローラ互換性マトリクスを使用して、新しいManagerリリースと他のコンポーネントとの互換性を確認します。

回避策はありますか。

No.この脆弱性に対処する回避策はありません。修正済みリリースにアップグレード。

どのバージョンにアップグレードする必要がありますか。

現在のリリーストレインの最初の修正済みリリースにできるだけ早くアップグレードしてください。このドキュメントの「修正済みソフトウェアバージョン」の表を参照してください。ご使用の環境に適したバージョンのTACの確認

以前のSD-WANセキュリティアドバイザリの修正済みリリースにすでにアップグレードしています。もう一度アップグレードする必要がありますか。

はい。ただし、現在のリリースが「修正済みソフトウェアバージョン」表に記載されているトレインの最初の修正済みリリース以降でない場合は除きます。以前のアドバイザリの修正済みリリースには、必ずしもこの脆弱性の修正が含まれているわけではありません。

すべてのマネージャからadmin-techsを収集する必要がありますか。

はい。あります。TACでは、お客様の環境を適切に評価するために、すべてのManager(vManage)のすべてのクラスタメンバーおよびDisaster Recovery(DR)サイトのすべてのManagerからのadmin-techファイルを必要とします。

自分で侵入の痕跡を確認できますか。

はい。あります。admin-techファイルを収集できない場合は、各マネージャで「手動確認手順」を使用して、その結果をTACと共有してください。Admin-tech収集が推奨される方法であり、TACが公式アセスメントを決定します。

TACはシステムが侵害されたかどうかを判断する方法を教えてください。

TACは、専用ツールを使用してadmin-techファイルを分析し、お客様の環境に侵入の痕跡がないか評価します。

セキュリティ侵害の痕跡が特定された場合はどうなりますか。

TACから連絡があり、お客様の環境に固有の次のステップとガイダンスについて話し合います。シスコがユーザに代わって修復を実行することはありません。TACは、ユーザが作業を進めるために必要なガイダンスを提供します。

TACが管理技術者を分析する前にアップグレードを開始できますか。

はい。あります。管理手順を収集し、修正済みリリースにアップグレードしてからTACケースをオープンします。これにより、TACは管理手順をスキャンして侵害の痕跡を検出できます。

修復時にダウンタイムが予想されますか。

影響は、導入アーキテクチャと修復パスによって異なります。TACは、プロセス中のサービスへの影響を最小限に抑えるためのガイダンスを提供します。

クラウドホスト型のSD-WANオーバーレイを所有しています。アップグレードにはどのようなオプションがありますか。

クラウドホステッドオーバーレイでは、次の2つのオプションがあります。

1. SSP > Overlay Details > Change Windowsの順に選択して、環境の自動アップグレードがスケジュールされているかどうかを確認します。
2. スケジュールされたアップグレードを待機しない場合は、次の2つのオプションがあります。
   • このドキュメントで入手できるアップグレードガイドを使用して、自分でアップグレードしてください。
   • 希望するメンテナンスウィンドウでスタンバイTACケースをオープンします。アップグレードで問題が発生した場合は、TACを利用できます。

シスコがホストするオーバーレイです。SSPのアクセスルールを確認する必要がありますか。

シスコがホストするすべてのカスタマーは、SSP > Overlay Details > Allow Inboundルールで各自のAllowed Inboundルールを確認し、各自の側から必要なプレフィックスのみが許可されていることを確認することをお勧めします。これらのルールは管理アクセス専用であり、エッジルータには適用されません。

Cisco TACでは、この脆弱性に対するフォレンジック分析や調査サービスを提供していますか。

Cisco TACは、この脆弱性に関連するIndicators of Compromise(IoC)をスキャンすることでお客様を支援できます。ただし、TACは詳細なフォレンジック分析やインシデント調査を実行しません。包括的なフォレンジック調査や詳細なセキュリティ調査を行うには、お客様が希望するサードパーティのインシデント対応(IR)会社に協力を依頼することをお勧めします。

SD-WANオーバーレイの脆弱性を軽減するための一般的なベストプラクティスまたは方法は何ですか。

SD-WANオーバーレイの脆弱性を軽減するためのベストプラクティスと推奨事項については、『Cisco Catalyst SD-WAN強化ガイド』を参照してください。

このアドバイザリを修正したManager(vManage)リリースとともに実行する必要があるコントローラ(vSmart)およびValidator(vBond)のリリースは何ですか。

このアドバイザリはCisco Catalyst SD-WAN Manager(vManage)のみに影響を与えるため、Managerのみが新しいリリースに移行します。各Managerを、ご使用のトレインに対応する修正済みソフトウェアバージョン表の最初の修正済みリリースにアップグレードしてください。

コントローラおよびバリデータでは、このアドバイザリのアップグレードは必要ありません。これらのコントローラおよびバリデータでは、『Cisco Catalyst SD-WANソフトウェアセキュリティ強化リリース：2026年8月』アドバイザリで公開されている修正済みリリースがすでに実行されている必要があり、同じトレイン内のそのリリースが修正済みManagerリリースの組み合わせとして想定されます。

リリーストレインは、20.9、20.12、20.15、20.18、26.1、26.2など、現在実行しているメジャーバージョンファミリです。最初の修正済みリリースは、修正を含む同じトレイン内の最も古いリリースであり、すでに実行しているトレインに留まるため、修正への最短でリスクの低いパスとなります。このアドバイザリに対処するために、新しいトレインに移行する必要はありません。ご使用のトレインの最初の修正済みリリース以降のバージョンがすでにマネージャにある場合は、この問題には該当せず、アップグレードは必要ありません。20.9より前のリリースはソフトウェアメンテナンスが終了しているため、サポートされているトレインへの移行が必要なのは、それらのリリースだけです。

通常のアップグレードプロセスと、前のアドバイザリで使用したものと同じメンテナンススロットルを使用します。唯一の変更点は、新しいManagerイメージを選択することです。たとえば、20.15トレインでは次のようになります。

• マネージャ(vManage) — 20.15.6.1
• コントローラ(vSmart)およびバリデータ(vBond) — 20.15.6

コントロールコンポーネントが2026年8月のアドバイザリよりも前のリリースのままになっている場合は、標準のSD-WANアップグレードの順序に従って、Managerから開始します。たとえば、コンポーネントが20.9.5上にある場合は、次のようになります。

1. 各マネージャ(vManage)を、このアドバイザリを修正するリリース（20.9トレインの20.9.10.1）に直接アップグレードします。
2. バリデータ(vBond)およびコントローラ(vSmart)を、そのトレインの2026年8月修正済みリリース(20.9.10)にアップグレードします。

この例では、終了状態はManagers at 20.9.10.1とValidators and Controllers at 20.9.10です。20.9リリースは例としてのみ示されています。使用しているトレインに対して同じシーケンスを適用し、「修正済みソフトウェアバージョン」の表を使用して、該当するManagerリリースを確認してください。

この修正を含むマネージャ(vManage)リリースと互換性のあるコントローラ(vSmart)およびバリデータ(vBond)のバージョンはどこで確認できますか。

『コントローラの互換性マトリクス』を使用してください。修正済みソフトウェアバージョンの表からアップグレードするManagerのリリースを検索し、サポートされているコントローラとバリデータのリリースを確認します。「アップグレードマトリックス」には、そのリリースに到達するためにサポートされているアップグレードパスが示されています。