Cisco Catalyst SD-WANに認証バイパス（CVE-2026-20182）— 認証なしで管理者権限、CVSSは満点の10.0
CiscoのSD-WAN製品「Catalyst SD-WAN Controller / Manager」に認証バイパスの脆弱性。認証されていない遠隔の攻撃者が認証を回避して管理者権限を奪える。CVSSは満点の10.0（Critical）。CISAは悪用確認済み(KEV)として掲載し、緊急指令(Emergency Directive 26-03)も発出している。
脆弱性の基本情報
- CVE番号CVE-2026-20182
- CVSS基本値10 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 対象（ベンダー／製品）Cisco Catalyst SD-WAN
- CWECWE-287
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-05-17（米連邦民生機関・BOD 22-01）
要点
CVE-2026-20182は、Cisco Catalyst SD-WAN の Controller（コントローラ）および Manager（マネージャ）に存在する認証バイパス（CWE-287：不適切な認証）の脆弱性だ。CISAのKEVカタログに2026年5月14日付で追加された。
NVDの説明によれば、認証されていない遠隔の攻撃者が認証を回避し、影響を受けるシステムで管理者権限を取得できる。ネットワーク経由・低い攻撃条件・認証不要で、機密性・完全性・可用性のすべてに最大の影響が及び、影響範囲が他へ波及(Scope: Changed)するという、最悪に近い性質を持つ。
SD-WANのController/Managerは、企業の広域ネットワーク全体を集中管理する「制御の中枢」だ。ここを認証なしで掌握されると、攻撃者はネットワーク構成の改ざんや通信の操作など、組織全体に波及する操作が可能になりうる。深刻度の高さを受け、CISAは通常のKEV掲載に加えて緊急指令(Emergency Directive 26-03)を発出し、暴露状況の評価とリスク低減、さらに「ハント（侵害痕跡の調査）・堅牢化ガイダンス」への対応を求めている。
【対応の要点】CISAの緊急指令26-03および同庁のSD-WAN向けハント・堅牢化ガイダンス（KEVのNotes欄にURL）に従って、暴露状況の評価と緩和を行う。クラウド利用時はBOD 22-01に準拠し、緩和策がなければ使用中止も検討する。連邦民生機関の是正期限は2026年5月17日と短い。
なぜ重要か
ネットワーク制御基盤の認証バイパス（CVSS 10.0）で、米政府が緊急指令を出すほどの重大事案。SD-WANを運用する組織は、外部公開状況の即時棚卸しと緩和、侵害痕跡(ハント)の調査が要点。境界・制御機器の優先パッチ運用を見直す契機になる。
よくある質問（FAQ）
CVSS 10.0とはどのくらい深刻ですか？
緊急指令(Emergency Directive)とは？
何をすべきですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。