漏洞概述 CVE编号: CVE-2026-20262 漏洞类型: 路径遍历（Path Traversal） 描述: Cisco Catalyst SD-WAN Manager（前身为vManage）存在路径遍历漏洞，允许经过身份验证的远程攻击者在文件系统上创建或覆盖任意文件。该漏洞的CVSS 6.5评分，CISA KEV列表，并报告了有限利用。成功利用可能导致权限提升到root。 影响范围 受影响版本: - Cisco Catalyst SD-WAN Manager 20.9.9.1及更早版本 - 20.10.7.1及更早版本 - 20.15.4.4及更早版本 - 20.15.5.2及更早版本 - 20.18.3.1及更早版本 - 20.18.11及更早版本 部署类型: - On-Prem - Cloud-Pro - Cloud Managed - FedRAMP Government 修复方案 补丁: 立即升级到修复版本，具体版本为20.9.9.2、20.10.7.2、20.15.4.5、20.15.5.3、20.18.3.1、20.18.12。 限制管理访问: 确保SD-WAN Manager Web UI（端口8443）仅从专用管理网络可达。使用ACL从通用用户子网和任何Internet-facing接口阻止访问。 审计用户账户: 审查所有SD-WAN Manager用户账户，移除未使用的账户，强制执行强密码，并启用多因素认证。 检查妥协指标: 审查SD-WAN Manager审计日志，查找异常文件上传活动或API调用。查找文件系统上的意外文件、修改的配置文件或新账户。 审查SD-WAN Fabric策略: 如果SD-WAN Manager被妥协，攻击者可能修改设备模板、策略或路由配置。审计边缘设备的运行配置以验证预期基线。 检查所有部署类型: On-Prem、Cloud-Pro、Cloud Managed和FedRAMP版本均受影响。对于云托管部署（Cloud-Pro、Cloud Managed、FedRAMP），与Cisco TAC协调以确认补丁是否已应用于Cisco托管侧。 调查工作流 1. 端口扫描: 发现SD-WAN Manager实例 - 端口8443: Web UI（主要管理界面） - 端口643: Web UI（某些部署中的备用HTTPS端口） - 端口8040: SD-WAN控制平面（NETCONF/YANG） - 端口830: NETCONF SSH - 端口6379: 内部Redis（集群部署） 2. TLS检查: 识别Cisco证书 - 检查端口8443上的TLS证书，识别Cisco、vManage或SDWAN等主题或颁发者字段。 3. HTTP头: 指纹Web UI - 探测端口8443，查找登录页面、服务器头、响应体和API端点等指纹。 4. DNS: 发现SD-WAN基础设施 - 查询内部DNS，查找常见的SD-WAN Manager命名模式。 5. CVE查找: 确认公告 - 获取CVE-2026-20262的完整NVD条目，跟踪评分更新。 外部数据交叉引用 SHODAN: 搜索“vManage”端口8443或“Cisco SD-WAN”以找到Internet暴露的实例。 CVE查找: 在NVD中获取CVE-2026-20262的更新评分和参考。 CISA KEV: 列出2026年6月15日，检查补救截止日期。 Cisco公告: Cisco SD-WAN Advisory 来源 Cisco公告: Cisco SD-WAN Advisory NVD: CVE-2026-20262 CISA已知利用漏洞目录 --- 注意: 页面中未包含POC代码或利用代码。