CVE-2026-20127 в Cisco Catalyst SD-WAN — обход аутентификации на максимальной критичности, уже патчили?

[VueMaster]

Привет всем. Пришёл патч-вторник за июнь 2026, и в топе опять Cisco — CVE-2026-20127, CVSS 10.0, auth bypass в Catalyst SD-WAN Controller и Manager. Удалённый неаутентифицированный атакующий шлёт специально сформированные HTTP-запросы и логинится как high-privileged user без каких-либо учёток. У нас в компании около 40 нод на SD-WAN, воркэраунда нет, только обновление прошивки. Кто уже накатил фикс? Есть нюансы с откатом конфигурации? Инфра чувствительная, не хочу превратить пятницу в ночь.

[grumpylurker]

Мы накатили вчера на тестовый кластер из 3 нод — всё чисто, конфиг не слетел. Главное перед апгрейдом сделать export running-config на каждом контроллере, и через CLI проверить версию командой show version. Текущий фикс идёт в 20.14.1 и 17.14.1 веток. Если у тебя старше — смотри матрицу совместимости на портале Cisco, там не всё так линейно.

[puto]

PoC в публичном доступе пока не видел, но Shodan показывает несколько сотен открытых портов 443 с баннером Cisco SD-WAN Manager в .ru и .kz зонах. Это уже не вопрос «скоро сломают» — это вопрос «когда именно». Я бы не ждал следующего окна обслуживания.

[k8s2000]

Откатить конфигурацию после апгрейда в нашей практике не потребовалось ни разу на этой ветке. Но советую перед апгрейдом проверить целостность образа через SHA-256 — скачиваете с официального портала, сверяете хэш, и только потом заливаете. Пару раз видел битые загрузки с CDN в регионах СНГ.

[mjp1982]

Интересно, что в Q1 2026 median time to exploit для критических CVE упал ниже 5 дней по статистике Securelist. То есть у вас буквально рабочая неделя от публикации до первых сканов. При таком темпе старая модель «патчим раз в квартал» это просто приглашение войти.

[Rhemix]

Для тех, кто не может сразу патчнуть: минимально — закрыть management-plane наружу файрволом, оставить доступ только с jump-хоста внутри сети. Не панацея, но снижает attack surface до минимума. И да, логи аутентификации на SIEM стоит гонять с повышенным приоритетом прямо сейчас.