2026년 초, Mandiant는 서비스 제공업체의 SD-WAN 인프라를 표적으로 삼는 위협 행위자를 탐지했습니다. 이 행위자는 무단 피어링 연결을 통해 초기 접근 권한을 얻었으며, 기본 계정 비밀번호를 조작했습니다. 그런 다음 Cisco Catalyst SD-WAN의 제로데이 취약점인 CVE-2026-20245를 악용했습니다. 이를 통해 관리자 계정에서 루트 레벨 접근 권한으로 권한을 상승시킬 수 있었습니다. 이 취약점은 악성 데이터에 대한 적절한 필터링이 부족한 장치의 파일 업로드 기능의 결함을 악용했습니다. 위협 행위자는 또한 반포렌식 기법을 사용하여 시스템 구성 파일을 선택적으로 삭제하고 복원했습니다. 그들은 모든 활동 흔적을 제거했는지 확인하기 위해 검증 스크립트까지 실행했습니다. 이 캠페인은 기존 보안 경계를 우회하기 위해 네트워크 장치를 손상시키는 추세가 증가하고 있음을 강조합니다. SD-WAN 오케스트레이터는 중앙 집중식 제어와 제한된 텔레메트리로 인해 주요 표적이 되고 있습니다. 조직은 즉시 Cisco Catalyst SD-WAN Manager를 패치하고 보안 강화를 위한 강화 지침을 따를 것을 권고합니다.