更新核對：2026-10-25。以下版本與處置依 Cisco Security Advisory cisco-sa-sdwan-rpa2-v69WY2SW 核對。Cisco 於 2026 年 5 月表示已知有有限度利用；這不表示每個受影響環境都已遭入侵。
重點摘要
- CVE-2026-20182 是 Cisco Catalyst SD-WAN Controller（vSmart）與 Manager（vManage）的未驗證遠端認證繞過，CVSS 3.1 為 10.0。
- 漏洞可能讓攻擊者取得高權限、非 root 的內部帳號，進而使用 NETCONF 操作 SD-WAN fabric 網路設定。
- Cisco 沒有提供 workaround。升級前先從每個控制元件收集 admin-tech，以保留可能的入侵線索，再升級到目前 release train 的修補版本。
受影響產品與固定版本
Cisco 指出 Catalyst SD-WAN Controller 與 Manager 均受影響，且不受裝置設定或部署方式影響；包括地端、Cloud-Pro、Cisco 管理雲端及 FedRAMP。請依目前所用 release train 對照下表，升到該列所列的固定版本或更新版本；早於 20.9 的版本已到維護期限，應遷移至仍受支援的固定版本。
| 目前版本系列 | Cisco 列出的首個固定版本 |
|---|---|
| 20.9 | 20.9.9.1 |
| 20.10、20.11 | 20.12.7.1 |
| 20.12 | 20.12.5.4、20.12.6.2 或 20.12.7.1 |
| 20.13、20.14 | 20.15.5.2 |
| 20.15 | 20.15.4.4 或 20.15.5.2 |
| 20.16 | 20.18.2.2 |
| 20.18 | 20.18.2.2 |
| 26.1 | 26.1.1.1 |
20.12、20.15 等系列有多個固定版本選項，升級前請查看 Cisco 最新 advisory 及相容性矩陣，選擇適合該環境的版本。Cisco 管理雲端版本 20.15.506 已處理此漏洞，Cisco 說明該雲端服務不需客戶自行升級。
升級前後的入侵檢查
- 升級或變更設定前，依 Cisco 指引從所有控制元件收集 admin-tech；保留檔案供 Cisco TAC 檢查。
- 檢查各 Manager 的
/var/log/auth.log，找出Accepted publickey for vmanage-admin記錄，並將來源 IP 與 Web UI 中設定的 System IP 清單比對。 - 檢視控制連線 peering 事件，特別留意非預期時間、未知來源或不符合部署架構的裝置類型。Cisco 提醒部分異常型態也可能出現在正常操作中，須依環境基準人工判讀。
- 完成鑑識資料收集後，儘快升級到適用的固定版本。若有可疑登入或 peer，依 Cisco 指引開立 TAC case，並保存設定及日誌證據。
後續漏洞鏈
Cisco 2026 年 6 月的 remediation 指引指出，CVE-2026-20182 或 CVE-2026-20127 的利用，曾是未驗證遠端攻擊者取得後續 CVE-2026-20245、CVE-2026-20262 所需帳號權限的已知路徑。這使修補 20182 也關係到後續 SD-WAN 控制元件風險；Cisco 仍建議分別修補後續漏洞並依指引檢查是否遭入侵。
來源與限制
Cisco 公告列出各 release train 的首個固定版本，並表示 2026 年 5 月已知有有限度利用。本文沒有把疑似登入或 peering 記錄直接判定為入侵；Cisco 指出這些線索需要依正常網路姿態人工驗證。
