Mandiant w analizie z 24 czerwca opisał incydent u dostawcy usług, w którym wykorzystaniu podatności SD-WAN towarzyszyło zacieranie śladów. Dla operatorów rozproszonych sieci płynie z tego praktyczny wniosek: ocenę włamania trzeba oprzeć również na dowodach niezależnych od urządzenia, które sprawca mógł przejąć.

Jak potwierdzić, że na urządzeniu nie doszło do nieuprawnionej zmiany, jeżeli sprawca mógł ją wprowadzić, a następnie cofnąć? To pytanie powinno otwierać przegląd sposobu zbierania dowodów w sieci SD-WAN. W opisanym przez Mandiant zdarzeniu badacze zaobserwowali, że sprawca usuwał pliki i przywracał konfigurację, żeby zatrzeć ślady. Proponujemy więc zacząć od sprawdzenia, co organizacja potrafiłaby wykazać bez polegania wyłącznie na aktualnym stanie urządzenia. Wybierzmy konkretny element zarządzania siecią i poprośmy o wskazanie miejsca, w którym zachowujemy historię jego zmian. Potem ustalmy, kto może tę historię odczytać, zmienić lub usunąć. Odpowiedzi zapiszmy jako punkt wyjścia do oceny, czy mamy materiał pozwalający odtworzyć wcześniejsze działania.

CVE-2026-20245 pozwoliła przejść od administratora do root

Według Mandiant w incydencie u dostawcy usług wykorzystano CVE-2026-20245 w Cisco Catalyst SD-WAN Manager do podniesienia uprawnień z przejętego konta administratora do poziomu root. Publikacja z 24 czerwca dotyczy zdarzenia z początku 2026 roku. Data ujawnienia analizy nie jest datą samego włamania.

Na potrzeby własnego przeglądu rozdzielmy pytania o dostęp administracyjny, podniesienie uprawnień i działania wykonane później. Przy każdym wskażmy, z jakich danych skorzystalibyśmy, aby ustalić przebieg zdarzeń. Nie dopisujmy nieznanego etapu ataku tylko dlatego, że znamy numer podatności. Jeśli dostępne informacje pozwalają potwierdzić zmianę uprawnień, zachowajmy taki zakres ustalenia i zaznaczmy pozostałe niewiadome.

Z tych faktów wyprowadzamy zalecenie dla operatora: sprawdź, czy ocena aktywności administratora wymaga zaufania wyłącznie do badanego urządzenia. Poproś zespół o wskazanie zapisu przechowywanego poza nim oraz o wyjaśnienie, jakie zdarzenia obejmuje ten zapis. Jeżeli takiego materiału nie wskazano, umieść tę lukę w planie dalszej weryfikacji. Istnienie logów to początek sprawdzenia, nie jego wynik. Ich przydatność trzeba dopiero ustalić.

Ocena włamania do SD-WAN powinna mieć oparcie także poza urządzeniem, którego wiarygodność właśnie sprawdzamy.

Przywrócona konfiguracja nie rozstrzyga historii zmian

Mandiant zaobserwował usuwanie plików i cofanie zmian konfiguracji, które miały utrudnić odtworzenie działań sprawcy. Sprawdzenie obecnej konfiguracji nie wystarcza więc do wykluczenia wcześniejszej ingerencji. W przeglądzie własnej sieci uwzględnijmy zatem osobno stan obecny oraz zachowaną historię działań.

Wyobraźmy sobie kartę kontroli SD-WAN, w której jedynym warunkiem zamknięcia sprawy jest zgodność aktualnej konfiguracji z oczekiwaną. W takim ćwiczeniu dopiszmy pytanie: na jakiej podstawie oceniono okres poprzedzający kontrolę? Poprośmy o wskazanie dostępnych zapisów i ich zakresu czasowego. Jeżeli odpowiedź opisuje tylko moment sprawdzenia, pozostawmy wcześniejszy okres jako niewyjaśniony. Nie zamieniajmy braku materiału w zapewnienie, że zmian nie było.

To propozycja sprawdzenia własnej procedury, bez przypisywania opisanemu dostawcy nieudokumentowanych zaniedbań. W protokole rozdzielmy wynik porównania konfiguracji od wyniku analizy historii. Przy brakujących danych wskażmy, czego nie udało się ustalić i kto ma poszukać dodatkowego materiału. Użyjmy tego samego rozróżnienia w informacji dla osoby zatwierdzającej zakończenie prac.

Zarządzający usługą potrzebuje zakresu pewności

Dla osoby odpowiedzialnej za SD-WAN proponujemy prosty warunek odbioru ustaleń: każde zapewnienie o przebiegu incydentu powinno wskazywać materiał, na którym je oparto. Poprośmy o zapisanie, co potwierdzono, jaki okres zbadano i na które pytania jeszcze nie ma odpowiedzi. Unikajmy zbiorczego potwierdzenia bezpieczeństwa, jeśli wykonane sprawdzenie dotyczyło tylko wybranej konfiguracji.

Przy logach przechowywanych poza urządzeniem sprawdźmy również odpowiedzialność za ich ochronę. Wskażmy osobę zarządzającą miejscem zapisu oraz ustalmy, kto może zmieniać lub usuwać zgromadzone dane. Niezależność materiału potraktujmy jako wymaganie do wykazania. Poprośmy o opis uprawnień i sposobu zachowania zapisów na potrzeby analizy, zamiast poprzestawać na informacji o ich wysyłaniu poza urządzenie.

Przywołane ustalenia nie pozwalają określić kosztu incydentu ani strat dostawcy. Nie wyceniajmy więc oszczędności z proponowanych działań. Na potrzeby własnej decyzji poprośmy o zakres prac potrzebnych do uzyskania brakujących dowodów, osobę odpowiedzialną i termin przedstawienia wyniku. Tak przygotowany zapis pozwoli zatwierdzającemu odnieść decyzję do wskazanych ustaleń oraz jawnie opisanych ograniczeń.

Raport o SD-WAN powinien pokazywać, czego dowody nie rozstrzygają, zanim stanie się podstawą zamknięcia incydentu.

Polski operator powinien sprawdzić granicę odpowiedzialności

Dla polskiego operatora rozproszonej sieci opis Mandiant jest podstawą do przeglądu własnych ustaleń z dostawcą. Przywołane fakty nie wskazują polskiej ofiary ani skali takich zdarzeń w Polsce. Z pojedynczego śledztwa nie wyprowadzajmy też wniosku o wzroście liczby włamań. Zastosujmy opisany problem do pytań o dowody we własnej usłudze.

Jeżeli zarządzanie SD-WAN powierzono dostawcy, poprośmy go o wskazanie, jakie dane można otrzymać do analizy i kto odpowiada za ich udostępnienie. Przy obsłudze wewnętrznej skierujmy te pytania do właściciela usługi. W obu przypadkach oczekujmy odpowiedzi odnoszącej się do konkretnego urządzenia oraz miejsca przechowywania zapisów.

W ustaleniach z dostawcą wskażmy także odbiorcę materiału po stronie organizacji. Zapiszmy, kto oceni, czy przekazane dane odpowiadają na pytania o badany okres. Jeżeli uzgodnienia kończą się na ogólnym zapewnieniu o dostępności logów, przygotujmy prośbę o doprecyzowanie zakresu. Odpowiedź wykorzystajmy do sprawdzenia procedury, bez zakładania z góry ani kompletności danych, ani ich braku.

Co z tym zrobić w poniedziałek

Każdy punkt potraktuj jako osobne zadanie na maksymalnie 30 minut, przygotowujące ocenę dowodów dotyczących SD-WAN.

  1. Wskaż miejsce przechowywania historii. Dla jednego urządzenia sprawdź w dostępnej dokumentacji, gdzie trafiają zapisy zdarzeń i zmian konfiguracji. Zanotuj, które pozostają na urządzeniu, a które są przechowywane poza nim. Brak odpowiedzi oznacz jako niewiadomą do wyjaśnienia.
  2. Sprawdź opis dostępu do zapisów. Dla wybranego miejsca przechowywania logów odszukaj właściciela oraz informację o uprawnieniach do ich zmiany i usuwania. Zapisz ustalenia albo przygotuj do właściciela krótką prośbę o brakujące dane.
  3. Uzupełnij kryterium zamknięcia analizy. W jednym używanym formularzu dopisz pola na badany okres, dowody spoza urządzenia i pytania bez odpowiedzi. Wskaż rolę odpowiedzialną za ocenę tych informacji przed zatwierdzeniem zakończenia analizy.

Zaufanie do zarządzania SD-WAN powinno obejmować możliwość sprawdzenia jego historii. Za warunek wiarygodnej oceny przyjmijmy dostęp do dowodów niezależnych od potencjalnie przejętego urządzenia. Gdy takich dowodów brakuje, granice ustaleń powinny pozostać widoczne w decyzji o zamknięciu incydentu.

Źródła

  1. Mandiant: Zero-Day Exploitation of Vulnerability (CVE-2026-20245) in Cisco Catalyst SD-WAN Manager, publikacja: 24 czerwca 2026 r.

Redakcja cyberinsight.pl.