2026年初頭、Mandiantは、あるサービスプロバイダーのSD-WANインフラストラクチャを標的とする脅威アクターを検知しました。アクターは、不正なピアリング接続を通じて初期アクセスを獲得し、デフォルトのアカウントパスワードを操作しました。その後、Cisco Catalyst SD-WANにおけるゼロデイ脆弱性、CVE-2026-20245を悪用しました。これにより、管理者アカウントからルートレベルのアクセスへと権限を昇格させることが可能になりました。この脆弱性は、悪意のあるデータの適切なフィルタリングが欠如していたデバイスのファイルアップロード機能の欠陥を悪用したものです。脅威アクターは、システム設定ファイルを意図的に削除および復元する、フォレンジック対策技術も利用しました。さらに、検証スクリプトを実行して、活動の痕跡がすべて消去されていることを確認しました。このキャンペーンは、従来のセキュリティ境界を回避するためにネットワークアプライアンスを侵害する傾向の高まりを浮き彫りにしています。SD-WANオーケストレーターは、その中央制御と限定的なテレメトリにより、主要な標的になりつつあります。組織は、Cisco Catalyst SD-WAN Managerを直ちにパッチ適用し、セキュリティ強化のためのハードニングガイドラインに従うことが強く推奨されます。