2026年6月6日，思科（Cisco）发布安全公告，确认其Catalyst SD-WAN Manager管理平台存在一个高危命令注入漏洞CVE-2026-20245（CVSS 7.8），且该漏洞已被攻击者在野利用，目前尚无官方补丁。作为企业SD-WAN部署的核心管理组件，SD-WAN Manager一旦被攻陷，攻击者可以进一步向边缘设备推送恶意配置，威胁范围从管理平面蔓延至整个企业广域网。这已是2026年以来思科SD-WAN产品线第7个被标记为"主动利用"的安全漏洞，态势令人担忧。
漏洞本质：从认证用户到root的"一步登天"
CVE-2026-20245本质上是一个文件上传功能中的命令注入漏洞。思科在公告中指出，漏洞根因是对用户上传文件的输入验证不足——拥有netadmin权限的攻击者可以通过上传精心构造的恶意文件，在下层系统中执行任意命令，并将自身权限提升至root级别。
从攻击者的视角看，这个漏洞的价值在于它是整个攻击链的"收尾环节"。单独激活CVE-2026-20245需要有效的netadmin凭据，但安全研究者早已发现，攻击者通常会先利用其他认证绕过漏洞获取权限：
① 利用 CVE-2026-20182（认证绕过，CVSS 10.0）或 CVE-2026-20127 获取管理员权限
② 利用 CVE-2026-20245 上传恶意文件 → 命令注入 → 提权至 root
③ 通过管理平面向边缘设备推送恶意配置变更
④ 完成对企业SD-WAN网络的全面控制
Google Mandiant团队已确认威胁组织UAT-8616曾利用CVE-2026-20127发起攻击，活动最早可追溯至2023年。而CVE-2026-20245的最新利用者身份目前尚未公开，思科仅表示"在有限案例中观察到攻击者利用该漏洞向边缘设备推送了配置变更"。
影响范围：四大部署模式全部中招
根据思科公告，以下部署方式均受影响：
- 本地部署（On-Premises Deployment）
- Cisco SD-WAN Cloud-Pro
- Cisco SD-WAN Cloud（思科托管）
- Cisco SD-WAN for Government（FedRAMP政府云）
这意味着无论是自建机房的中型企业，还是使用思科托管云服务的大型政企客户，只要使用了SD-WAN Manager进行集中管理，都在风险范围内。尤其对于将管理面板直接暴露在公网的企业，思科特别发出了"面临更高风险"的警告。
应急排查：建议立即检查这些日志
虽然目前没有官方补丁，但思科提供了明确的入侵指标（IoC）。IT管理员应立即检查SD-WAN Manager服务器上的/var/log/scripts.log文件，重点关注包含以下关键词的条目：
| 可疑特征 | 说明 |
|---|---|
vconfd_script_upload_tenant_list.sh |
租户列表上传脚本被调用 |
vconfd_script_upload_vsmart_serial_numbers.sh |
vSmart设备序列号上传 |
vconfd_script_upload_chassis_number_file.sh |
ZTP设备机箱编号上传 |
如果日志中出现来自非预期路径（如/home/admin/目录而非正常上传路径）的脚本调用，应立即视为入侵迹象，启动应急响应流程。
缓解措施：无补丁不等于无作为
在没有官方补丁的情况下，以下措施可以有效降低风险：
- 收紧访问控制：立即检查SD-WAN Manager的管理界面是否暴露在公网。如果必须远程访问，务必通过VPN或堡垒机进行，切勿将管理端口直接映射到互联网。
- 升级关联漏洞补丁：确保已应用2026年5月14日发布的CVE-2026-20182修复补丁。虽然这不直接修复CVE-2026-20245，但可以堵住攻击链的第一步入口。
- 审计管理账户：检查SD-WAN Manager上的所有管理员账户，删除不再使用的账号，强制启用多因素认证（MFA）。
- 加强日志监控：将scripts.log纳入SIEM或日志集中管理平台的监控范围，对异常脚本执行设置实时告警。
- 限制文件上传功能：如果业务允许，临时禁用或严格限制SD-WAN Manager的文件上传接口。
深度反思：SD-WAN安全正在成为企业网络的"阿喀琉斯之踵"
回顾2026年以来的思科SD-WAN安全态势，CVE-2026-20245已是该产品线第7个被标记为在野利用的漏洞，此前已有CVE-2026-20182、CVE-2026-20127、CVE-2026-20122等多个严重漏洞接连曝光。这背后折射出一个更深层的问题：
SD-WAN作为软件定义网络的代表，在为企业带来灵活性和成本优势的同时，也创造了一个高度集中的攻击面。传统的分支网络各自为战，攻击者即便拿下一个节点也难以横向扩散。但在SD-WAN架构下，一旦管理平面被攻破，所有连接的边缘设备都可能沦为攻击者的跳板。这种"单点突破、全网沦陷"的风险模型，要求企业必须将SD-WAN管理器的安全防护提升到与核心路由器、防火墙同等甚至更高的级别。
另一个值得关注的现象是，CVE-2026-20245的利用需要先获取认证凭据，这似乎降低了它的"戏剧性"——毕竟攻击者需要先"进门"才能"偷东西"。但思科同时披露的CVE-2026-20182（认证绕过、CVSS 10.0）告诉我们，对攻击者而言，"进门"并不困难。这两个漏洞的组合，本质上构成了一对"万能钥匙+万能操作"的致命组合。
结语
作为北京地区专业的IT外包与网络管理服务商，我们建议所有使用思科SD-WAN产品的企业客户立即行动起来，按照上述建议进行排查和加固。在没有官方补丁的阶段，主动防御的价值远大于被动等待。对于将网络运维外包给我们的客户，我们已启动专项巡检，逐台检查SD-WAN Manager的暴露面和日志状态。
如果您所在企业使用了思科SD-WAN设备但不确定安全状态，欢迎通过网站留言板或电话联系我们，我们将提供免费的安全评估咨询服务。网络安全没有"银弹"，但持续的关注和及时的行动，永远是性价比最高的防护策略。