14 травня 2026 року CISA внесла вразливість CVE-2026-20182 до каталогу Known Exploited Vulnerabilities (KEV), встановивши для федеральних цивільних агентств (FCEB) кінцевий термін усунення — 17 травня 2026 року, тобто всього три дні. Вразливість стосується Cisco Catalyst SD-WAN Controller і являє собою обхід автентифікації, що дає змогу неавтентифікованому віддаленому зловмиснику отримати адміністративні привілеї на цільовій системі. За даними Cisco Talos, експлуатація вже здійснюється в реальних атаках щонайменше однією групою, а в сукупності з раніше розкритими вразливостями SD-WAN формується масштабна кампанія за участю щонайменше десяти різних кластерів загроз.

Технічні деталі вразливості

Відповідно до опису CISA, CVE-2026-20182 — це вразливість обходу автентифікації в Cisco Catalyst SD-WAN Controller і Manager. Вона дає змогу неавтентифікованому віддаленому зловмиснику повністю обійти механізми автентифікації й отримати адміністративний доступ до вразливої системи. Факт експлуатації підтверджено включенням до каталогу CISA KEV.

Продукти, яких це стосується:

• Cisco Catalyst SD-WAN Controller
• Cisco Catalyst SD-WAN Manager
• vManage

Окрім CVE-2026-20182, в активній експлуатації перебувають ще три пов’язані вразливості: CVE-2026-20133, CVE-2026-20128 і CVE-2026-20122. За даними дослідників, у разі об’єднання в ланцюжок ці три вразливості дозволяють віддаленому неавтентифікованому зловмиснику отримати несанкціонований доступ до пристрою. Повідомляється, що їх було додано до каталогу KEV минулого місяця.

Атрибуція та контекст загроз

За даними Cisco Talos, активна експлуатація CVE-2026-20182 з високим ступенем упевненості приписується угрупованню, яке відстежується як UAT-8616. Цей самий кластер раніше пов’язували з використанням вразливості CVE-2026-20127 для несанкціонованого доступу до систем SD-WAN.

Дослідники Cisco Talos зазначають, що після успішної експлуатації CVE-2026-20182 угруповання UAT-8616 виконувало дії, подібні до тих, що спостерігалися під час експлуатації CVE-2026-20127: спроби додавання SSH-ключів, модифікація конфігурацій NETCONF і підвищення привілеїв до рівня root. Ймовірно, інфраструктура UAT-8616 перетинається з так званими мережами Operational Relay Box (ORB). Слід враховувати, що атрибуція ґрунтується на даних одного дослідницького джерела й не підтверджена незалежно з боку CISA.

Масштаби кампанії: 10 кластерів експлуатації

Починаючи з березня 2026 року, за даними Cisco Talos, щонайменше 10 різних кластерів загроз експлуатують ланцюжок із CVE-2026-20133, CVE-2026-20128 і CVE-2026-20122, використовуючи публічно доступний код експлойта. Зловмисники розгортають вебшели на скомпрометованих системах для виконання довільних команд bash. Один із таких вебшелів на базі JSP отримав назву XenShell — за ім’ям PoC-коду, опублікованого ZeroZenX Labs.

Різноманіття інструментів і цілей кластерів демонструє, наскільки широкий спектр атакувальників:

• Кластери 1 і 4 (із початку березня 2026) — розгортання вебшелу Godzilla та його варіантів
• Кластери 2 і 3 (із початку березня 2026) — розгортання вебшелу Behinder, XenShell і їхніх комбінацій
• Кластер 5 (з 13 березня 2026) — шкідливий агент, скомпільований на базі фреймворку для тестування на проникнення AdaptixC2
• Кластер 6 (з 5 березня 2026) — фреймворк керування й контролю Sliver
• Кластери 7 і 9 (із середини — кінця березня 2026) — криптомайнер XMRig; кластер 9 додатково використовує інструмент тунелювання gsocket
• Кластер 8 (з 10 березня 2026) — інструмент сканування KScan і бекдор мовою Nim, ймовірно заснований на NimPlant, з можливістю файлових операцій, виконання команд bash і збирання системної інформації
• Кластер 10 (з 13 березня 2026) — інструмент викрадення облікових даних, спрямований на хеш-дампи облікових записів адміністраторів, фрагменти ключів JSON Web Token (JWT) для автентифікації REST API та облікові дані AWS для vManage

Особливе занепокоєння викликає кластер 10: викрадення JWT-ключів та AWS-облікових даних vManage означає, що компрометація контролера SD-WAN може стати точкою входу для латерального переміщення в хмарну інфраструктуру організації.

Оцінка впливу

Cisco Catalyst SD-WAN — платформа, що широко використовується в корпоративних і державних мережах для керування розподіленою інфраструктурою. Отримання адміністративного доступу до контролера SD-WAN фактично надає зловмиснику контроль над маршрутизацією трафіку, політиками безпеки та конфігурацією всієї WAN-інфраструктури організації.

Наявність 10 незалежних кластерів експлуатації, що діють із початку березня 2026 року, вказує на те, що вразливості масово експлуатуються вже понад два місяці. Спектр загроз варіюється від шпигунства (викрадення облікових даних, встановлення бекдорів) до фінансово вмотивованих атак (криптомайнінг), що свідчить про залучення як APT-груп, так і менш кваліфікованих зловмисників, які використовують публічні експлойти.

Практичні рекомендації

• Негайно застосуйте патчі для CVE-2026-20182, CVE-2026-20133, CVE-2026-20128 і CVE-2026-20122 відповідно до рекомендацій Cisco. Кінцевий термін CISA для FCEB — 17 травня 2026 року, однак для всіх організацій пріоритет має бути таким самим
• Проведіть аудит скомпрометованих систем: перевірте наявність несанкціонованих SSH-ключів, змін у конфігураціях NETCONF, JSP-файлів вебшелів (Godzilla, Behinder, XenShell) і ознак підвищення привілеїв до root
• Перевірте облікові дані: проведіть ротацію паролів адміністраторів, JWT-ключів REST API та AWS-облікових даних, пов’язаних із vManage, особливо якщо патчі не були встановлені до травня 2026 року
• Обмежте мережевий доступ до інтерфейсів керування SD-WAN Controller і Manager — вони не мають бути доступними з інтернету
• Моніторинг: відстежуйте запуск процесів XMRig, звернення до інфраструктури Sliver та AdaptixC2, а також активність інструментів KScan і gsocket у мережі

Триденний дедлайн CISA — безпрецедентно короткий термін, який відображає критичність ситуації. Організаціям, що використовують Cisco Catalyst SD-WAN, слід розглядати встановлення патчів як невідкладне завдання, а не планове оновлення, та паралельно провести ретроспективний аналіз щодо можливої компрометації, починаючи з березня 2026 року — з огляду на те, що експлуатація триває вже понад два місяці, відсутність патча з високою ймовірністю означає, що система вже скомпрометована.