CISA آسیب‌پذیری Cisco SD-WAN با شناسه CVE-2026-20182 را پس از سوءاستفاده‌های دسترسی مدیریتی به فهرست KEV اضافه کرد

آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) روز پنج‌شنبه یک آسیب‌پذیری بحرانی تازه‌کشف‌شده در کنترلر Cisco Catalyst SD-WAN را با شناسه CVE-2026-20182 به فهرست آسیب‌پذیری‌های بهره‌برداری‌شده شناخته‌شده (KEV) خود افزود. این آسیب‌پذیری از نوع دور زدن احراز هویت (authentication bypass) بوده و با بالاترین امتیاز ممکن یعنی ۱۰.۰ در سیستم امتیازدهی CVSS رتبه‌بندی شده است. این نقص به مهاجم راه دور و احراز هویت‌نشده امکان می‌دهد احراز هویت را دور زده و دسترسی مدیریتی به سیستم‌های آسیب‌دیده به دست آورد. سازمان‌های دولتی فدرال آمریکا (FCEB) موظفند تا ۱۷ مه ۲۰۲۶ این آسیب‌پذیری را برطرف کنند. سیسکو بهره‌برداری فعال از این نقص را با اطمینان بالا به گروه تهدید UAT-8616 نسبت داده که پیش‌تر نیز از آسیب‌پذیری CVE-2026-20127 برای نفوذ به سیستم‌های SD-WAN سوءاستفاده کرده بود.

تیم Cisco Talos گزارش داده که UAT-8616 پس از بهره‌برداری موفق، اقداماتی نظیر افزودن کلیدهای SSH، تغییر پیکربندی‌های NETCONF و ارتقای دسترسی به سطح root انجام داده است. زیرساخت این گروه با شبکه‌های جعبه رله عملیاتی (ORB) همپوشانی دارد. علاوه بر این، حداقل ۱۰ خوشه تهدید مجزا از آسیب‌پذیری‌های CVE-2026-20133، CVE-2026-20128 و CVE-2026-20122 از مارس ۲۰۲۶ بهره‌برداری کرده‌اند و ابزارهایی نظیر وب‌شل‌های (web shell) Godzilla، Behinder و XenShell، فریم‌ورک فرمان‌ودهی Sliver، ماینر XMRig و ابزار سرقت اعتبارنامه برای دسترسی به توکن‌های JWT و اطلاعات AWS را مستقر ساخته‌اند. سیسکو به مشتریان توصیه کرده است راهنمایی‌های امنیتی منتشرشده را برای محافظت از محیط‌های خود دنبال کنند.