觀點 · 資訊分享

Cisco SD-WAN Manager 任意寫檔漏洞已被利用：只有 6.5 分，仍可能一路升到 root

Cisco 公布 Catalyst SD-WAN Manager 的檔案上傳漏洞（CVE-2026-20262），已知有限度被利用，CISA 當天列入已遭利用清單。官方沒有替代做法，只能升版。

一句話看懂：Cisco SD-WAN Manager 有個檔案上傳漏洞已被實際利用，雖然 CVSS 只有 6.5 分，但攻擊者能寫入任意檔案並進一步升到 root，官方只建議升級。

Cisco SD-WAN Manager 任意寫檔漏洞資訊圖卡：分數不高但已被利用，攻擊者可寫入任意檔案並進一步升到 root

先用白話講：這個漏洞是什麼？

想像公司有個收件櫃台，規定來賓只能把文件放進「訪客資料夾」。但櫃台沒仔細檢查文件名稱，來賓寫上「…/…/機房鑰匙」，文件就被放進機房的位置去了。

這個漏洞（CVE-2026-20262）就是這種「路徑沒檢查」的問題（CWE-22）：Cisco Catalyst SD-WAN Manager 的網頁介面在處理檔案上傳時，沒有妥善驗證使用者輸入，攻擊者可以建立或覆寫系統裡的任意檔案。

風險最高的是直接暴露在網際網路、且連接埠對外開放的管理系統
Cisco 建議稽核 /var/log/nms/vmanage-server.log：若出現上傳檔案路徑含多層 ../、指向 wildfly/standalone/deployments 並以 .war 結尾的紀錄，可能是初始入侵手法
公告也提到後續活動的紀錄範例（例如部署了不明的 .war），但不一定每次都會出現；判斷時請對照自己平常的網路狀態

我自己不管大型企業的 SD-WAN，但接案時偶爾會碰到客戶有這種網路設備，而且從來沒人更新過。這種管理介面最危險的情況，就是被直接放在網際網路上。

這則新聞最值得記的是：看到「中等」就先放著，是常見的誤判。如果你是窗口，把這份公告轉給負責網管的人，並問清楚兩件事：版本是多少、管理介面有沒有對外開放。能不對外就先不要對外。

SD-WAN Manager 是什麼？

Cisco 管理 SD-WAN（軟體定義廣域網路）的集中管理平台，以前叫 vManage，用來設定與監控分公司之間的網路。

攻擊者需要什麼條件？

Cisco 說攻擊者需要有效帳號，且至少要有寫入權限；NVD 的描述則是至少有低權限的單一工作帳號。兩邊的措辭略有不同，總之不是完全匿名。

怎麼檢查有沒有被打？

Cisco 建議檢查 /var/log/nms 下 vmanage-server.log 有沒有可疑的 WAR 檔上傳紀錄（路徑含 ../ 往上跳），這可能是初始入侵手法；請對照自己的正常運作狀況判斷。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。