Remediate Catalyst SD-WAN Security Advisory - juni 2026

Inleiding

Dit document beschrijft stappen om kritieke beveiligingslekken in SD-WAN te identificeren en aan te pakken op basis van PSIRT-adviezen van 4 en 15 juni 2026.

---

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Catalyst SD-WAN-architectuur en besturingscomponenten (vManage, vSmart, vBond)
• Cisco Catalyst SD-WAN-upgradeprocedure
• Cisco TAC-casemanagement en procedures voor het verzamelen van beheerderstechnologie

Gebruikte componenten

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

Voor gedetailleerde achtergrondinformatie en de laatste updates, raadpleegt u de officiële PSIRT-adviespagina.

Deze adviezen zijn beschikbaar via deze links:

• Cisco Catalyst SD-WAN-controller, Catalyst SD-WAN Manager en Catalyst SD-WAN Validator Authenticated Privilege Escalation Vulnerability
• Cisco Catalyst SD-WAN Manager: kwetsbaarheid voor willekeurig schrijven van bestanden

Deze gebreken worden behandeld door deze PSIRT-adviezen:

• Cisco bug ID CSCwu18563
• Cisco bug ID CSCwu18441

---

Overzicht van de werkstroom voor probleemoplossing

Deze adviezen beschrijven twee kwetsbaarheden in Cisco Catalyst SD-WAN. De eerste (CVE-2026-20245) is een kwetsbaarheid voor privilege-escalatie in SD-WAN-besturingscomponenten waarvoor netadmin-bevoegdheden nodig zijn om te exploiteren. De tweede (CVE-2026-20262) is een willekeurig bestandsschrijfbeveiligingslek in SD-WAN Manager (vManage) waarmee een geverifieerde gebruiker elk bestand op het bestandssysteem van een getroffen systeem kan maken of overschrijven.

Voor zowel CVE-2026-20245 als CVE-2026-20262 zijn de bekende paden voor een niet-geverifieerde externe aanvaller om de vereiste referenties te verkrijgen, exploitatie van CVE-2026-20182 (cisco-sa-sdwan-rpa2-v69WY2SW) of CVE-2026-20127 (cisco-sa-sdwan-rpa-EHchtZk). Voor CVE-2026-20245 zijn netadmin-bevoegdheden vereist om te kunnen exploiteren, terwijl voor CVE-2026-20262 ten minste een gebruikersaccount met één taak met minder bevoegdheden nodig is.

Als uw besturingscomponenten zijn geüpgraded naar een vaste release voor beide adviezen en Cisco geen potentiële indicatoren van compromis (IoC's) heeft geïdentificeerd in de admin-tech-bestanden die u voor de eerdere gebeurtenissen hebt verstrekt, worden de bekende niet-geverifieerde exploitatiepaden voor zowel CVE-2026-20245 als CVE-2026-20262 beperkt op die specifieke apparaten, op basis van de beoordeelde bestanden. Dit elimineert de blootstelling niet wanneer een aanvaller geldige referenties heeft. Cisco raadt u aan om te upgraden naar een vaste release voor beide adviezen.

Vereiste actie: Open een Cisco TAC-case om deze beveiligingsadviezen aan te pakken.

De TAC is beschikbaar voor:

• Beoordeel uw omgeving op indicatoren van compromis
• Begeleid u door het juiste herstelpad op basis van de beoordeling
• Begeleiding geven over de volgende stappen die moeten worden genomen als er compromisindicatoren worden vastgesteld

1. Verzamel Admin-Techs- Voer admin-tech uit op alle besturingscomponenten (vSmart, vManage, vBond). vSmart-beheertechnologieën mogen niet gelijktijdig worden uitgevoerd — voer ze één voor één uit. Alle andere kunnen in elke volgorde worden verzameld. Selecteer Logboekopties en Technische opties.  De kern is niet nodig.
2. Open TAC Case - Neem contact op met Cisco TAC en zorg voor alle logbundels van Control Component Admin-tech.
3. TAC-beoordeling - TAC voert een voorlopige beoordeling uit van indicatoren van compromis in uw omgeving op basis van de verstrekte admin-technische bestanden.
4. Remediation uitvoeren - Voltooi indien nodig het specifieke proces dat door TAC wordt geboden.

---

Stap 1: Verzamel Admin-Tech-bestanden van alle besturingscomponenten

Vereist: Verzamel admin-tech bestanden van alle besturingscomponenten voordat u een upgrade of configuratiewijziging uitvoert, zodat diagnostische gegevens en mogelijke indicatoren van compromis (IoC's) behouden blijven. Deze bestanden worden door TAC in stap 3 gebruikt om uw omgeving te analyseren.

Collectie: Selecteer Logboekopties en technische opties voor het genereren van beheerderstechnologie. De kern is niet nodig.

1. Voer admin-tech uit op ALLE controllers (vSmarts) - voer deze niet tegelijkertijd uit; verzamel er één tegelijk
2. Voer admin-tech uit op ALLE managers (vManages)
3. Voer admin-tech uit op ALLE validators (vBonds)

Verzamel een Admin-Tech in een SD-WAN-omgeving en upload naar een TAC-case

Alternatief: Handmatige verificatie (alleen als Admin-Tech niet kan worden verzameld)

Als u geen admin-tech-bestanden kunt delen, is een handmatige verificatiestap beschikbaar. Deze stap biedt een voorlopige indicator die moet worden gedocumenteerd en gedeeld met de TAC.

Zie het gedeelte Handmatige verificatiestappen aan het einde van dit document voor een gedetailleerde procedure. Documenteer alle bevindingen en geef ze aan TAC in uw ondersteuningsgeval.

---

Stap 2: Open een TAC Case en upload Admin-Tech Files

Nadat u admin-techs hebt verzameld in stap 1, opent u een ondersteuningscase voor Cisco TAC en uploadt u de verzamelde admin-techbestanden. TAC analyseert de admin-techs voor compromisindicatoren in verband met beide adviezen (CVE-2026-20245 en CVE-2026-20262).

Vereiste acties:

1. Open een TAC-geval voor prioriteitsniveau 3 met "CVE-2026-20245, CVE-2026-20262" en de adviserende ID's cisco-sa-sdwan-privesc-4uxFredzx en cisco-sa-sdwan-arbfw-c2rZvQ in de titel om de analyse te initiëren.
2. Upload ALLE logboekbundels voor beheerderstechnologie die in stap 1 zijn verzameld (controllers, beheerders en validators).
3. Wacht tot TAC de analyse heeft voltooid en de resultaten heeft meegedeeld.

Stap 3: TAC-beoordeling

TAC voert een voorlopige analyse uit van de admin-tech-bestanden die u in stap 2 hebt geüpload en beoordeelt deze op compromisindicatoren die verband houden met beide adviezen (CVE-2026-20245 en CVE-2026-20262).

Voor advies CVE-2026-20245 is de analyse gericht op een specifieke logboekvermelding in /var/log/scripts.log op elke besturingscomponent (vManage, vSmart en vBond). Omdat de onderliggende opdracht legitiem is en het logboek geen onderscheid maakt tussen legitiem en kwaadwillig gebruik, moeten alle overeenkomende items handmatig worden gecontroleerd door TAC in vergelijking met uw normale operationele houding voordat ze worden behandeld als een bevestigde indicator.

Voor advies CVE-2026-20262, is de analyse gericht op verschillende bestanden in de /var/log/nms directory van elke Manager (vManage). In sommige gevallen kunnen deze indicatoren van compromis optreden tijdens standaardbewerkingen. 

Deze logboeken maken geen onderscheid tussen legitiem en kwaadwillig gebruik; daarom moeten alle overeenkomende items handmatig door TAC worden beoordeeld aan de hand van uw normale operationele houding voordat ze worden behandeld als een bevestigde indicator.

Mogelijke uitkomsten van de TAC-analyse:

• Er werden geen overeenkomende logboekvermeldingen geïdentificeerd — op basis van de beoordeelde admin-tech-bestanden werden geen indicatoren in verband met een van beide adviesfuncties waargenomen. Op dit moment is er geen verdere specifieke actie voor deze adviezen vereist. Het resultaat is beperkt tot de ontvangen admin-tech-bestanden en is onderhevig aan de bewaarperiode voor logbestanden op elk apparaat.
• Overeenkomende logboekvermeldingen geïdentificeerd — TAC betrekt de gebruiker bij aanvullende controlestappen. Een upgrade naar een vaste release wordt aanbevolen voor beide adviezen. Vanwege de aard van de adviezen kan ook aanvullende actie vereist zijn. De richtlijnen van TAC voor bevestigde compromisscenario's zijn gedocumenteerd in de gerelateerde TechZone-artikelen waarnaar wordt verwezen in stap 4.

Stap 4: Als er compromisindicatoren worden vastgesteld — houd u aan de TAC-richtsnoeren

Als TAC compromisindicatoren identificeert die verband houden met deze adviezen in uw omgeving, neemt TAC contact met u op met specifieke richtlijnen. Vul alle instructies in die door TAC worden verstrekt.

Als er voor geen van beide adviesorganen compromisindicatoren zijn vastgesteld, is op dit moment geen verdere specifieke actie voor de compromisbeoordeling vereist, op basis van de bestudeerde admin-tech-bestanden. Upgraden naar een vaste release voor beide adviezen wordt nog steeds sterk aanbevolen.

---

Vaste softwareversies

Deze softwarereleases bevatten oplossingen voor de geïdentificeerde kwetsbaarheden:

Geldt voor huidige versies	Vaste versie	Beschikbare software
20.9.9.1 en eerder	20.9.9.2	20.9.9.2 Upgrade-images voor vManage, vSmart en vBond
20.12.7.1 en eerder	20.12.7.2	20.12.7.2 Upgrade-images voor vManage, vSmart en vBond
20.15.4.4 en eerder	20.15.4.5	20.15.4.5 Upgrade-images voor vManage, vSmart en vBond
20.15.5.2 en eerder	20.15.5.3	20.15.5.3 Upgrade-images voor vManage, vSmart en vBond
20,16, 20,17, 20,18,x	20.18.3.1	20.18.3.1 Upgrade-images voor vManage, vSmart en vBond
26.1	26.1.1.2	26.1.1.2 Upgrade-images voor vManage, vSmart en vBond

Belangrijke referenties:

• Upgradematrix
• compatibiliteitsmatrix voor controllers
• Remediate Catalyst SD-WAN Security Advisory — mei 2026
• Remediate Catalyst SD-WAN Security Advisory — februari 2026
• Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability (14 mei 2026)

---

overwegingen

Aan het einde van een succesvolle sanering, en op basis van uw specifieke eisen voor beveiligingszekerheid, raadt Cisco u aan de hier vermelde hygiëneactiviteiten te evalueren en erop te reageren. Deze activiteiten zijn van toepassing ongeacht welke hersteloptie is geselecteerd. Ze worden door gebruikers beheerd; Cisco leidt ze niet of voert ze niet uit namens u.

• Controle van alle lokale gebruikersaccounts
• Rotatie van referenties
• Rotatie van eventuele geheimen in apparaatconfiguraties, bijvoorbeeld (niet-uitputtende lijst):
  • Inloggegevens voor lokale gebruikersaccounts
  • SNMP-communitystrings
  • TACACS geheime sleutels
  • VPN vooraf gedeelde sleutels en certificaten
  • Vertrouwde SSH-sleutels
• Controle van configuratiesjablonen

Randapparatuur — Vermoede compromittering

Cisco raadt geen specifiek herstelpad aan; de keuze van een hersteloptie berust bij elke klant. 

De juiste opdracht voor het uitvoeren van een veilige fabrieksreset is:

factory-reset all secure

---

Bijlage: Handmatige verificatiestappen (alleen als Admin-Tech Collection niet mogelijk is)

Verificatie voor CVE-2026-20245: Controleer scripts.log op elke besturingscomponent voor bestandsupportitems

Volgens het PSIRT-advies worden gebruikers aangemoedigd om logbestanden te controleren voor vermeldingen die vergelijkbaar zijn met dit voorbeeld. Op versie 20.9 en hoger is dit item te vinden in scripts.log at /var/log/. Voor releases vóór 20.9 zijn de equivalente gegevens te vinden in vdebug-logs op /var/log/tmplog/:

Apr 15 09:44:57 vmanage vScript: Tenant list upload per vsmart serial number: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0

Stap 1: Open vshell op elke besturingscomponent en zoek de juiste logbestanden voor CVE-2026-20245-indicatoren

De locatie van het logbestand is afhankelijk van de softwarerelease die wordt uitgevoerd op de besturingscomponent. Bepaal wat van toepassing is op uw omgeving voordat u de zoekopdracht uitvoert.

Release 20.9 en hoger — Zoek scripts.log in de /var/log/tmplog/:

Ga vanuit de vManage CLI naar vshell en voer het volgende uit:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/scripts.log*

Releases vóór 20.9 — Zoek vdebug logs in /var/log/tmplog/:

Op releases voor 20.9 is scripts.log niet aanwezig. De equivalente loggegevens worden geschreven naar /var/log/tmplog/vdebug. Er worden maximaal vijf doorlopende genummerde bestanden behouden (vdebug, vdebug.1 tot en met vdebug.5). Alle actieve bestanden doorzoeken met:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/tmplog/vdebug*

Naast de actieve bestanden worden oudere logs gearchiveerd als gecomprimeerde tar-bestanden in /var/log/met behulp van het naamgevingspatroon vdebug_<timestamp>.tar.gz, waarbij de loggegevens in het archief worden opgeslagen op var/log/tmplog. Doorzoek alle archieven met:

for f in /var/log/vdebug_*.tar.gz; do echo "=== $f ==="; tar -xOf "$f" var/log/tmplog 2>/dev/null | grep "vconfd_script_upload_tenant_list.sh"; done

Herhaal alle controles die van toepassing zijn op elke besturingscomponent in de implementatie (inclusief alle clusterleden en alle aan DR gekoppelde vManage).

Stap 2: Interpreteren van resultaten en documenten voor TAC

Als er GEEN overeenkomende items worden geretourneerd:

• In het logbestand van dit apparaat zijn geen compromisindicatoren in verband met dit advies waargenomen.
• Documenteer dit resultaat voor uw TAC-geval (vermeld de hostnaam van het apparaat en de datum/het bereik van de gezochte logbestanden).
• Ga verder met het controleren van de resterende managers.

Als overeenkomende items worden teruggegeven:

• Elke overeenkomende vermelding moet worden beoordeeld aan de hand van uw normale operationele houding. De onderliggende opdracht (upload van de lijst met huurders) is legitiem en wordt weergegeven tijdens routinebewerkingen.
• Leg voor elk overeenkomend item de tijdstempel, de volledige logregel en het bestandspad vast waarnaar wordt verwezen na het cli-pad.
• Als een overeenkomende vermelding niet kan worden verzoend met een bekende, legitieme bewerking, is dit een mogelijke indicator van compromis. Documenteer de bevinding en geef deze aan TAC voor herziening.
• Documenteer alle bevindingen en open een TAC-zaak. Voeg de overeenkomende logboekvermeldingen en de uitvoer van de bronopdracht in uw geval toe.
• TAC voert de officiële beoordeling uit. Als de beoordeling compromisindicatoren identificeert, raadpleegt u de stroom die wordt beschreven in de gerelateerde TechZone-documenten: en handleidingen voor probleemoplossing.

Verificatie voor CVE-2026-20262: controleer logbestanden op elke manager (vManage) voor willekeurige bestandsinschrijvingen

Volgens het PSIRT-advies worden gebruikers aangemoedigd om deze logbestanden op elke Manager (vManage) te controleren op vermeldingen die vergelijkbaar zijn met deze voorbeelden:

Voorbeeld verdachte vermelding in vmanage-server.log (op /var/log/nms/)

11-June-2026 03:53:37,310 EDT INFO  [a66cdc5f-807d-4c23-944e-5c809a2ece6b] [server] [SdraAnyConnectFileUploadHandler] (default task-40704) |default| uploaded Remote Access Anyconnect profile file: ../../../../var/lib/wildfly/standalone/deployments/suspicious.war to vManage.

Voorbeeld verdachte vermelding in vmanage-appserver.log (op /var/log/nms/)

11-June-2026 07:52:55,275 UTC INFO  [server] (DeploymentScanner-threads - 2) WFLYSRV0010: Deployed "suspicious.war" (runtime-name : "suspicious.war")

Voorbeeld verdachte vermelding in serviceproxy-access.log (op /var/log/nms/containers/service-proxy/)

POST /suspicious/index.jsp HTTP/1.1

Stap 1: Open vshell op elke Manager (vManage) en zoek de logbestanden

Ga vanuit de vManage CLI naar vshell en voer:

vs
zgrep "SdraAnyConnectFileUploadHandler" /var/log/nms/vmanage-server.log*
zgrep "WFLYSRV0010" /var/log/nms/vmanage-appserver.log*

Bij sommige releases is het service-proxy-log rechtstreeks toegankelijk vanuit vshell. Op releases waar root shell-toegang vereist is, downloadt u de admin-tech en zoekt u de serviceproxy-access.log-bestanden erin op dezelfde manier met behulp van een opdracht die lijkt op:

Release 20.9 en hoger:

tar -xOf .tar.gz var/log/nms/containers/service-proxy/serviceproxy-access.log 2>/dev/null | grep "suspicious"

Releasen voor 20.9:

tar -xOf .tar.gz var/log/nms/serverproxy-access.log 2>/dev/null | grep "suspicious"

Als u rechtstreeks vanuit vshell toegang hebt, gebruikt u de .war-bestandsnaam die is geïdentificeerd aan de hand van de resultaten van de vorige twee opdrachten (zonder de extensie) in plaats van verdachte:

Release 20.9 en hoger:

zgrep "POST" /var/log/nms/containers/service-proxy/serviceproxy-access.log* | grep "suspicious"

Releasen voor 20.9:

zgrep "POST" /var/log/nms/serverproxy-access.log* | grep "suspicious"

Herhaal de controle op elke vManage-server in de implementatie (inclusief alle clusterleden en alle aan DR gekoppelde vManage).

Stap 2: Interpreteren van resultaten en documenten voor TAC

Als er GEEN overeenkomende items worden geretourneerd:

• In de logbestanden op dit apparaat werden geen aanwijzingen van compromissen in verband met dit advies waargenomen.
• Documenteer dit resultaat voor uw TAC-geval (vermeld de hostnaam van het apparaat en de datum/het bereik van de gezochte logbestanden).
• Ga verder met het controleren van de resterende managers.

Als overeenkomende items worden teruggegeven:

• Elke overeenkomende vermelding moet worden beoordeeld aan de hand van uw normale operationele houding. Deze vermeldingen kunnen tijdens standaardbewerkingen voorkomen en bevestigen op zichzelf geen compromis.
• Leg voor elk overeenkomend item in vmanage-server.log de tijdstempel, de volledige logregel en het bestandspad vast waarnaar wordt verwezen in de uploadhandler.
• Als een overeenkomende vermelding niet kan worden verzoend met een bekende, legitieme bewerking, is dit een mogelijke indicator van compromis. Documenteer de bevinding en geef deze aan TAC voor herziening.
• Documenteer alle bevindingen en open een TAC-zaak. Voeg de overeenkomende logboekvermeldingen en de uitvoer van de bronopdracht in uw geval toe.
• TAC voert de officiële beoordeling uit. Als de beoordeling compromisindicatoren identificeert, raadpleegt u de stroom die wordt beschreven in de gerelateerde TechZone-documenten: en handleidingen voor probleemoplossing.

---

Veelgestelde vragen

V: Wat is de eerste stap om deze beveiligingsadviezen aan te pakken?

A: Verzamel admin-tech-bestanden van alle besturingscomponenten (vSmart, vManage, vBond) voordat u een upgrade of configuratiewijziging uitvoert om diagnostische gegevens en eventuele compromisindicatoren te behouden. Open vervolgens een Cisco TAC-case en upload de admin-techs zodat TAC ze kan analyseren.

V: Heeft Cisco een softwarefix uitgebracht voor deze kwetsbaarheden?

A: Ja, vaste releases zijn beschikbaar voor beide adviezen, zoals vermeld in de sectie Vaste softwareversies. Er zijn geen workarounds.

V: Waarom raadt Cisco aan om meer te doen dan alleen upgraden?

A: Het gebruik van deze kwetsbaarheden vereist een geverifieerde gebruiker. Een niet-geverifieerde aanvaller kan deze referenties alleen verkrijgen via geldige referenties of door gebruik te maken van CVE-2026-20182 of CVE-2026-20127. Ervoor zorgen dat besturingscomponenten worden geüpgraded naar de vaste releases voor die eerdere adviezen, richt zich op de bekende niet-geverifieerde paden om de bevoegdheden te verkrijgen die nodig zijn om deze kwetsbaarheden te exploiteren. De admin-tech-analyse in stap 3 helpt bepalen of er compromisindicatoren aanwezig zijn in de beoordeelde bestanden.

V: Moet ik admin-techs verzamelen van alle besturingscomponenten?

A: Ja. TAC vereist admin-tech-bestanden van alle controllers (vSmart, één voor één verzameld), alle managers (vManage) en alle validators (vBond) om de analyse uit te voeren.

V: Hoe bepaalt TAC of mijn systeem compromisindicatoren heeft die verband houden met deze adviezen?

A: TAC beoordeelt de admin-tech bestanden voor indicatoren van compromis specifiek voor elk advies. Voor het adviesformulier voor escalatie van bevoegdheden (CVE-2026-20245) zoekt TAC naar specifieke logboekvermeldingen in /var/log/scripts.log op elke controlecomponent. Voor het advies voor het schrijven van willekeurige bestanden (CVE-2026-20262) zoekt TAC naar specifieke logboekvermeldingen in drie logbestanden op elke Manager: /var/log/nms/vmanage-server.log, /var/log/nms/vmanage-appserver.log en /var/log/nms/containers/service-proxy/serviceproxy-access.log. In beide gevallen kan de onderliggende activiteit optreden tijdens standaardbewerkingen; alle overeenkomende items worden door TAC beoordeeld aan de hand van uw normale operationele houding voordat ze worden behandeld als een bevestigde indicator.

V: Wat gebeurt er als er compromisindicatoren worden vastgesteld?

A: TAC neemt contact met u op met specifieke begeleiding. De upgrade alleen lost een bevestigd compromis niet op. De richtlijnen van TAC zijn gebaseerd op de stroom gedocumenteerd in de gerelateerde TechZone-artikelen voor de adviezen van mei 2026 en februari 2026.

V: Worden edge routers (Cisco IOS XE) beïnvloed door deze adviezen?

A: Deze adviezen hebben voornamelijk betrekking op Cisco Catalyst SD-WAN-besturingscomponenten. Voor het privilege escalation advisory (CVE-2026-20245) worden alle besturingscomponenten (vManage, vSmart, vBond) beïnvloed en Cisco heeft beperkte gevallen waargenomen waarin de exploitatie ertoe leidde dat een configuratiewijziging naar randapparaten werd gepusht; gebruikers worden aangemoedigd om de configuratie van hun randapparaten te verifiëren. Voor het advies voor het schrijven van willekeurige bestanden (CVE-2026-20262) is de kwetsbaarheid beperkt tot het bestandssysteem SD-WAN Manager en heeft deze geen directe invloed op randapparaten.

V: Welke implementatietypen worden beïnvloed?

A: Volgens deze adviezen zijn deze kwetsbaarheden van invloed op alle implementatietypen van Cisco Catalyst SD-WAN, ongeacht de apparaatconfiguratie, waaronder On-Prem Deployment, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) en Cisco SD-WAN for Government (FedRAMP).

V: Ik heb al een upgrade uitgevoerd voor de adviezen van mei 2026 en februari 2026 en er zijn voor die evenementen geen compromisindicatoren vastgesteld. Sta ik bloot aan deze nieuwe kwetsbaarheden?

A: Als uw besturingscomponenten een vaste release hebben voor zowel CVE-2026-20182 als CVE-2026-20127 en er geen compromisindicatoren zijn geïdentificeerd voor die eerdere gebeurtenissen in de beoordeelde admin-tech-bestanden, worden de bekende niet-geverifieerde exploitatiepaden voor zowel CVE-2026-20245 als CVE-2026-20262 beperkt op die specifieke apparaten, op basis van de beoordeelde bestanden. Dit elimineert de blootstelling niet wanneer een aanvaller geldige referenties heeft. Cisco raadt u aan om te upgraden naar een vaste release voor deze adviezen.

V: Kan ik de verificatie zelf uitvoeren in plaats van te wachten op TAC?

A: Gebruikers die geen beheerderstechnieken kunnen delen, kunnen de handmatige verificatiestap uitvoeren die in de bijlage wordt beschreven. Het resultaat is voorlopig; documenteer bevindingen en deel ze met TAC, die de officiële beoordeling uitvoert.

V: Wat zijn de algemene best practices voor het verharden van mijn SD-WAN-overlay?

A: Raadpleeg de Cisco Catalyst SD-WAN Hardening Guide voor best practices.

V: Biedt Cisco TAC forensische analyse of onderzoeksdiensten voor deze kwetsbaarheden?

A: Cisco TAC kan gebruikers helpen door admin-tech-bestanden te bekijken voor de indicatoren van compromis die in beide PSIRT-adviezen zijn gedocumenteerd. Cisco TAC voert geen diepgaande forensische analyse of incidentonderzoek uit. Voor uitgebreid forensisch werk of gedetailleerde veiligheidsonderzoeken worden gebruikers aangemoedigd om hun favoriete derde partij Incident Response (IR)-bedrijf in te schakelen.