2026 年初，Mandiant 检测到一名威胁行为者针对某服务提供商的 SD-WAN 基础设施发起攻击。该行为者通过非法对等连接获取初始访问权限，并操纵默认账户密码。随后，他们利用 Cisco Catalyst SD-WAN 中的零日漏洞 CVE-2026-20245，将权限从管理账户提升至 root 级别。该漏洞源于设备文件上传功能中缺乏对恶意数据的适当过滤。威胁行为者还采用了反取证技术，选择性删除并恢复系统配置文件，甚至执行了验证脚本以确保其活动痕迹被彻底清除。此次行动凸显了攻击者日益倾向于入侵网络设备以绕过传统安全边界的趋势。由于 SD-WAN 编排器具备集中控制能力且遥测数据有限，正成为首要攻击目标。建议组织立即修补 Cisco Catalyst SD-WAN Manager，并遵循加固指南以增强安全性。