CERT Polska 15 maja wskazał aktywne wykorzystywanie podatności CVE-2026-20182 w Cisco Catalyst SD-WAN Controller i Manager, która umożliwia obejście uwierzytelniania i uzyskanie uprawnień administratora. Tydzień po komunikacie firmy korzystające z SD-WAN powinny sprawdzić, czy zlecona aktualizacja skończyła się potwierdzeniem wersji, zakresu urządzeń i odpowiedzialności za dalszą weryfikację.

Kiedy sprawę luki w SD-WAN można uznać za zamkniętą? Odpowiedź, która brzmi rozsądnie i niewiele rozstrzyga, zna każdy, kto prowadził zgłoszenia zmian: wtedy, gdy administrator albo operator usługi odpisze „zaktualizowane”. Taka wiadomość potwierdza, że ktoś podjął pracę. Nie mówi jednak, której wersji dotyczy, ilu urządzeń, ani kto sprawdzi wynik, gdy sprawa zniknie z listy pilnych. Przy CVE-2026-20182 ta różnica ma praktyczne znaczenie, bo według CERT Polska problem występuje niezależnie od konfiguracji urządzenia. Zamknięcia sprawy nie da się więc oprzeć na przekonaniu, że „u nas ta funkcja jest wyłączona”. Proponujemy inną miarę. Zlecenie aktualizacji kończy się dopiero wtedy, gdy organizacja ma zapisaną wersję po zmianie, listę objętych urządzeń i wskazaną osobę odpowiedzialną za dalszą weryfikację.

CVE-2026-20182 omija uwierzytelnianie niezależnie od konfiguracji

Według komunikatu CERT Polska z 15 maja podatność CVE-2026-20182 jest aktywnie wykorzystywana. Pozwala obejść uwierzytelnianie i uzyskać uprawnienia administratora. Komunikat wymienia dwa produkty: Cisco Catalyst SD-WAN Controller i Cisco Catalyst SD-WAN Manager.

Najważniejsza dla planowania jest uwaga, że problem nie zależy od konfiguracji urządzenia. Przy ocenie podatności często pada pytanie: czy podatna funkcja jest u nas włączona? Tutaj ta ścieżka odpada. Jeżeli firma używa któregoś z wymienionych produktów, punktem wyjścia jest wersja oprogramowania, a ustawienia urządzenia nie zmieniają oceny.

Przywołane informacje nie wskazują, kto wykorzystuje lukę, w ilu organizacjach ani czy wśród ofiar są polskie firmy. Tych informacji nie uzupełniajmy domysłami. Do decyzji o pilności wystarczy połączenie trzech elementów: aktywne wykorzystywanie, obejście uwierzytelniania i uprawnienia administratora po udanym ataku.

Gdy podatność nie zależy od konfiguracji, argument „u nas to wyłączone” przestaje uzasadniać odłożenie aktualizacji.

Odpowiedź „zrobione” zostawia trzy pytania otwarte

Procedura zarządzania zmianą zwykle kończy się zamknięciem zgłoszenia. Często zamyka je ten, kto wykonał pracę, a potwierdzenie bywa jednym słowem. Przy CVE-2026-20182 takie potwierdzenie pomija trzy ustalenia, które da się sprawdzić.

Pierwsze to wersja po zmianie. Zespół powinien podać wersję odczytaną z urządzenia po aktualizacji, z datą odczytu, i porównać ją z informacją, na podstawie której zlecono pracę. Deklaracja „najnowsza” bez numeru nie pozwala tego porównania powtórzyć.

Drugie to zakres urządzeń. Komunikat dotyczy dwóch produktów. Potwierdzenie, które wymienia tylko Manager albo tylko Controller, zostawia pytanie o drugi, jeśli firma używa obu. Podobnie z instancjami. Lista objętych urządzeń powinna pochodzić z ewidencji. Pamięć osoby, która akurat wykonywała zmianę, jej nie zastąpi.

Trzecie to wykonanie zalecenia, czyli informacja, że zlecona zmiana objęła każdą pozycję z listy, a pozycje pominięte mają uzasadnienie i termin. Bez tego raport miesza plan, prace w toku i zakończone zadanie.

To propozycja sprawdzenia własnej procedury. Komunikat CERT Polska nie opisuje, jak konkretne firmy reagowały na ostrzeżenie, i nie ma podstaw, żeby komukolwiek przypisywać zaniedbania.

Zlecenie bez właściciela weryfikacji przenosi ryzyko na zarząd

Dla zarządu wynik zlecenia ma znaczenie tylko wtedy, gdy wiadomo, kto za niego odpowiada. Przy podatności aktywnie wykorzystywanej według ostrzeżenia z 15 maja zamknięcie zgłoszenia na podstawie deklaracji oznacza, że kierownictwo przyjmuje stan sieci na wiarę. Tymczasem uprawnienia administratora w Cisco Catalyst SD-WAN Manager czy Controller to dostęp, którego przejęcie nikt nie chce odkrywać po fakcie.

Dalsza weryfikacja ma dwie części. Pierwsza dotyczy przyszłości. Kto sprawdzi wersję przy kolejnej zmianie, odtworzeniu urządzenia albo dołożeniu nowej instancji? Druga dotyczy przeszłości. Aktualizacja zmienia stan od chwili jej wykonania, ale nie odpowiada na pytanie o okres, w którym luka była już wykorzystywana, a urządzenie jeszcze nie miało poprawki. Czy i w jakim zakresie organizacja zajmie się tym pytaniem, to decyzja. Zapiszmy ją razem z nazwiskiem osoby odpowiedzialnej.

Koszt takiej weryfikacji zależy od własnego środowiska i z komunikatu nie wynika. Nie wyceniajmy go z góry. Poprośmy zespół o oszacowanie nakładu pracy dla naszych urządzeń i oznaczmy je jako ocenę lokalną.

Zlecenie aktualizacji jest zamknięte dopiero wtedy, gdy ktoś z imienia i funkcji odpowiada za sprawdzenie jego wyniku.

Ostrzeżenie CERT Polska trafia do administratora, decyzja do właściciela usługi

Komunikat CERT Polska jest skierowany do krajowych administratorów, a od jego publikacji minęło 7 dni. W firmie, która utrzymuje SD-WAN sama, pytania o wersję, zakres i wykonanie zalecenia trafiają do własnego administratora. Jeśli usługę dostarcza operator, adresatem jest operator, a odpowiedź powinna odnosić się do urządzeń obsługujących naszą sieć, z wersją odczytaną po zmianie.

W obu przypadkach rozdzielmy dwie role. Administrator lub operator wykonuje aktualizację i ją dokumentuje. Właściciel usługi po stronie firmy odbiera potwierdzenie, ocenia jego kompletność i decyduje o zamknięciu sprawy. Gdy obie role pełni ta sama osoba, łatwo pominąć pytanie o urządzenie, którego nie ma na liście.

Skali ataków w Polsce przywołane fakty nie podają. Nie ma więc podstaw do mówienia o fali włamań. Jest natomiast datowane ostrzeżenie o aktywnym wykorzystywaniu i jasna wskazówka, że konfiguracja nie chroni przed problemem.

Co z tym zrobić w poniedziałek

  1. Ustal zakres i właściciela. W 30 minut zestaw z ewidencji listę instancji Cisco Catalyst SD-WAN Controller i Manager, własnych albo objętych umową z operatorem, i przypisz do każdej osobę odpowiedzialną. Braki zapisz jako pytania z adresatem.
  2. Poproś o potwierdzenie wersji po zmianie. Wyślij administratorowi lub operatorowi prośbę o wersję odczytaną z każdego urządzenia z listy, datę odczytu i potwierdzenie wykonania zalecenia z komunikatu CERT Polska z 15 maja.
  3. Dopisz warunek zamknięcia zlecenia. W formularzu zgłoszenia zmiany dodaj pola: wersja po zmianie, objęte urządzenia, osoba odpowiedzialna za dalszą weryfikację i termin. Zgłoszenie dotyczące CVE-2026-20182 zamknij dopiero po ich uzupełnieniu.

Przy CVE-2026-20182 pytanie „czy zaktualizowaliśmy?” jest za krótkie. Właściwe brzmi inaczej. Która wersja działa na których urządzeniach i kto odpowiada za to, żeby tak pozostało? Dopóki organizacja nie zna tych odpowiedzi, ekspozycja jest zamknięta głównie w systemie zgłoszeń.

Źródła

Redakcja cyberinsight.pl.