対象：Cisco Catalyst SD-WAN Manager（旧vManage）を自社のサーバーや自社のクラウドのアカウントで動かしている組織と、その運用を受けている事業者。Ciscoが運用するクラウドの提供は修正済みです。本記事はCiscoのセキュリティ勧告、NVD、米CISAのKEV一覧にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Cisco Catalyst SD-WAN Manager（旧vManage）を自社のサーバーや自社のクラウドのアカウントで動かしている組織と、その運用を受けている事業者。Ciscoが運用するクラウドの提供は修正済みです。
- 影響が確認された範囲表で見る ↓
- 対象の版と修正版
- ログイン不要、管理者の権限でAPIに入れる
- 実際の攻撃
さらに1件
- Cisco運用のクラウド
- 未確認事項
- 攻撃や侵害を受けたシステムの数
- 管理者の権限を得た攻撃者が何をしたか
- KeyDriftという名前がこのCVEを指すか
- 今やること手順を見る ↓
- SD-WAN Managerと版を洗い出す
- 系列ごとの最初の修正版へ上げる
- 管理用の接続口に届く相手を絞る
さらに2件
- ログで不正利用の跡を確かめる
- 更新のあと、管理者の権限を固める
- 確認先（出典）出典の一覧 ↓
- Cisco「Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability」（cisco-sa-sdwan-webauth-xr8beuuU、2026年9月30日、版1.1は10月2日）
- 最終確認日時
- 2026年10月31日（日本時間）時点
発表の続報予定と確認の記録
Ciscoの勧告（版1.1、10月2日）とKEVへの登録は公開済みです。10月31日に、勧告、NVD、米CISAのKEVのフィード（版2026.10.30）を確認しました。
今日やること
SD-WAN Managerと版を洗い出す
待機系や検証用のクラスターも含め、すべてのSD-WAN Managerのソフトウェアの版を控えます。Ciscoによると、設定に関係なく対象です。Cisco SD-WAN Cloud（Cisco Managed）を使っているなら作業は要らないとCiscoは説明しており、版はサービスのヘルプ機能で確かめられます。
系列ごとの最初の修正版へ上げる
20.9は20.9.10.1、20.12は20.12.8.2、20.15は20.15.6.1、20.18は20.18.4.1、26.1は26.1.2.1、26.2は26.2.1へ。20.9より前の版は修正版へ移行します。始める前に、コントローラーと拠点のルーターとの組み合わせを、Ciscoの互換性と更新の対応表で確かめます。
管理用の接続口に届く相手を絞る
Ciscoは、インターネットなど信頼できないネットワークからの接続を止め、ファイアウォールの内側で、分かっている信頼できる端末だけを通すよう勧めています。今日更新できないなら、これを先にやります。一時的なLive Protectのシールドは部分的な保護で、URIエンコードを含む正規の利用者がログインできなくなることがあります。
ログで不正利用の跡を確かめる
Ciscoの勧告には、確かめるログのファイルと記録が載っています。見覚えのない接続元から、組み込みのシステム用アカウントでログインした記録などです。通常の運用でも出る記録があるので、普段の通信と比べて判断します。TACにケースを開く場合（重要度3、件名にCVE-2026-76504）は、先にadmin-techファイルを作ります。
更新のあと、管理者の権限を固める
Ciscoは、初期の管理者パスワードを変えること、管理者ごとに必要な権限だけのアカウントを作ること、ログを外部のサーバーへ送り後で調べられる期間残すことを勧めています。不正利用の跡があったなら、その期間に拠点のルーターへ配られた設定の変更も見直します。
公表された内容
- 製品
- Cisco Catalyst SD-WAN Manager（旧vManage）。Cisco Catalyst SD-WANを一元管理するシステム
- 種類
- HTTPリクエストのURIエンコードの扱いの不備による認証回避（CWE-177）
- 認証
- 不要。管理者の権限でAPIに入れる（Cisco）
- 深刻度
- CVSS v3.1で9.8（Cisco）
- 対象
- 下の修正版より前の版。設定は問わない
- 修正版
- 20.9.10.1 ／ 20.12.8.2 ／ 20.15.6.1 ／ 20.18.4.1 ／ 26.1.2.1 ／ 26.2.1。Cisco運用のクラウドは20.15.605（作業不要）
- 回避策
- なし。緩和策は信頼できないネットワークからの接続の制限
- 悪用
- Ciscoのセキュリティチームが2026年9月に悪用を把握
- KEV
- 2026年9月30日に追加、期限は10月3日。米CISAのフォレンジック確認の対象にも指定
1. 版を洗い出す
設定に関係なく対象
2. 更新して接続元を絞る
系列ごとの修正版。信頼できる端末だけ
3. ログを点検
Ciscoの勧告の点検項目。必要ならTAC
修正版
| SD-WANの版 | 最初の修正版 |
|---|---|
| 20.9より前 | 修正版へ移行 |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud（Cisco Managed） | 20.15.605（Ciscoが適用済み） |
時系列
2026年9月
Ciscoのセキュリティチームが悪用を把握。Ciscoによると、この脆弱性はサポートの問い合わせへの対応の中で見つかった。9月30日
Ciscoが勧告と修正版を公開。米CISAがKEVに追加し、期限を10月3日とする。10月2日
Ciscoが勧告を更新（版1.1）し、一時的なLive Protectのシールドを追記。10月3日
米国の連邦機関に対するKEVの期限が過ぎる。10月31日
勧告の追加の改訂はなし。NVDの状態はAnalyzed。
分かっていること・分かっていないこと
| 項目 | 出典の内容 | 状態 |
|---|---|---|
| 対象の版と修正版 | 設定は問わない。系列ごとに修正版あり | 確定（Cisco） |
| ログイン不要、管理者の権限でAPIに入れる | 勧告に明記 | 確定（Cisco） |
| 実際の攻撃 | Ciscoが9月に悪用を把握 | 悪用を確認（Cisco） |
| Cisco運用のクラウド | 20.15.605で修正、作業不要 | 確定（Cisco） |
| 攻撃を受けたシステムの数 | 公表なし | 記載なし |
| 攻撃者が入ったあとにしたこと | 公表なし | 記載なし |
| KeyDriftという名前 | CiscoもCISAも使っていない | 記載なし |
ネットワーク全体に関わる理由
SD-WAN Managerは、管理するすべての拠点のルーターに設定を配ります。そこに管理者として入れるということは、1台のサーバーではなく、組織全体のネットワークの設計に手が届くということです。Ciscoが更新に加えて、管理用の接続口をインターネットから離すことを強く求めているのはそのためです。
勧告はKEVへの登録と同じ日に、攻撃がすでに知られた後で出ました。9月30日より前にインターネットから届いていたシステムは、修正版が出る前からさらされていた可能性があります。更新だけでは片付かず、ログの点検が必要です。
出典
2026年10月31日（日本時間）に確認。
- Cisco「Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability」（cisco-sa-sdwan-webauth-xr8beuuU、2026年9月30日、版1.1は10月2日） — sec.cloudapps.cisco.com
- Cisco「Cisco Catalyst SD-WAN Hardening Guide」 — sec.cloudapps.cisco.com
- NVD「CVE-2026-76504」 — nvd.nist.gov
- 米CISA「Known Exploited Vulnerabilities Catalog」（2026年9月30日に追加） — cisa.gov
更新履歴
2026-10-31：初版。Ciscoの勧告、NVD、米CISAのKEV一覧にもとづく。
次に読む
- 同じ時期の悪用事例：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- 同じ時期のCiscoの脆弱性：Cisco ASA・FTDのVPNでログインなしに再起動させられる脆弱性 CVE-2026-76418
- 外部に出ている機器の守り方：VPN機器とリモートアクセスの守り方
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 用語：CVSSとは