**CISA**は、Catalyst SD-WAN Managerの脆弱性である**CVE-2026-20133**に対し、政府機関に4日間のパッチ適用期限を設けました。 Catalyst SD-WAN Manager（旧vManage）は、最大6,000台のCatalyst SD-WANデバイスを単一のダッシュボードから監視・管理するためのネットワーク管理ソフトウェアです。 Ciscoはこの情報漏洩の脆弱性（**CVE-2026-20133**）を2月下旬に修正しましたが、認証されていないリモート攻撃者がパッチ未適用のデバイス上の機密情報にアクセスできるとしています。 「この脆弱性は、ファイルシステムへのアクセス制限が不十分なことに起因します。攻撃者は、影響を受けるシステムのAPIにアクセスすることで、この脆弱性を悪用する可能性があります」と**Cisco**は述べています。「悪用に成功した場合、攻撃者は基盤となるオペレーティングシステム上の機密情報を読み取ることができます。」 1週間後、同社は、同日に修正された他の2つのセキュリティ欠陥（**CVE-2026-20128**および**CVE-2026-20122**）も実世界で悪用されていることを明らかにしました。 ## 連邦機関に金曜日までのパッチ適用を指示 月曜日、**CISA**は「活発な悪用の証拠」を引用し、**CVE-2026-20133**を既知の悪用済み脆弱性（KEV）カタログに追加しました。連邦民間執行機関（FCEB）は、金曜日（4月24日）までにネットワークを保護するよう命じられました。 「CISAの緊急指令26-03およびCisco SD-WANデバイス向けのCISAのハント＆ハードニングガイダンスに概説されている、Cisco SD-WANデバイスに関連するリスクを評価し、軽減するためのCISAのガイドラインを遵守してください」とCISAは述べています。「クラウドサービスに関する適用可能なBOD 22-01ガイダンスを遵守するか、緩和策が利用できない場合は製品の使用を中止してください。」 **Cisco**は、**CISA**の活発な悪用に関する報告をまだ確認していません。同社のセキュリティアドバイザリでは、製品セキュリティインシデント対応チーム（PSIRT）は「**CVE-2026-20133**で説明されている脆弱性の公開発表や悪意のある使用については認識していない」と依然として示しています。 2月には、**Cisco**は、2023年以降、標的ネットワークに悪意のある不正なピアを追加することを可能にする、zero-day攻撃で悪用されている重大な認証バイパス脆弱性（**CVE-2026-20127**）も指摘しました。 さらに最近では、3月初旬に、同社はSecure Firewall Management Center（FMC）ソフトウェアにおける2つの最大深刻度の脆弱性に対処するためのセキュリティアップデートをリリースしました。これらの脆弱性は、攻撃者がrootアクセスを取得し、root権限で任意のJavaコードを実行できる可能性がありました。 過去数年間で、**CISA**は91件の**Cisco**脆弱性を実世界で悪用されているとタグ付けしており、そのうち6件はさまざまなランサムウェア操作に使用されています。