yonathanpy/cve-2026-20127-cisco-sd-wan-preauth-rcePreuve de concept pour CVE-2026-20127, une RCE pré-authentification dans Cisco SD-WAN, démontrant l'enregistrement de pairs malveillants et le contournement d'authentification à des fins de recherche et de tests défensifs.
Ce dépôt contient une preuve de concept (PoC) d'exploit pour CVE-2026-20127, une vulnérabilité critique d'exécution de code à distance (RCE) avant authentification affectant les déploiements Cisco Catalyst SD-WAN Controller (anciennement vSmart) et Cisco Catalyst SD-WAN Manager (anciennement vManage).
La vulnérabilité permet à un attaquant distant non authentifié d'interagir directement avec les composants du plan de gestion et de contrôle de l'infrastructure SD-WAN de Cisco, conduisant finalement à un compromis administratif complet de la structure SD-WAN.
Selon les rapports publics et l'analyse du fournisseur, cette vulnérabilité a été activement exploitée dans la nature depuis au moins 2023. Cisco attribue l'activité d'exploitation à un groupe de menaces sophistiqué identifié comme UAT-8616, qui a exploité la faille pour obtenir un accès administratif persistant aux environnements SD-WAN exposés.
Étant donné que Cisco SD-WAN est largement déployé dans l'infrastructure WAN d'entreprise, les réseaux de fournisseurs de services et les environnements d'infrastructures critiques, une exploitation réussie peut avoir des implications opérationnelles et de sécurité significatives, y compris un contrôle total sur l'orchestration réseau et le comportement de routage sur des réseaux géographiquement distribués.
Ce dépôt fournit une implémentation orientée recherche de l'exploit pour aider les chercheurs en sécurité, les défenseurs et les administrateurs réseau à comprendre les mécanismes de la vulnérabilité et à améliorer les stratégies de détection et d'atténuation.
ID CVE : CVE-2026-20127
Plateformes concernées :
Classe de vulnérabilité :
Niveau d'impact : Critique
La vulnérabilité provient d'une validation insuffisante des chemins de communication spécifiques du plan de contrôle au sein de l'infrastructure de gestion SD-WAN. En élaborant une interaction malveillante avec l'interface de gestion, un attaquant peut enregistrer un pair rogue au sein du plan de contrôle SD-WAN et élever ses privilèges sans posséder d'identifiants valides.
Une fois le pair malveillant accepté par le plan de contrôle, l'attaquant obtient la capacité d'interagir avec les services de gestion internes et d'effectuer des opérations privilégiées.
Les enquêtes de sécurité ont identifié des campagnes d'exploitation actives débutant en 2023, ciblant les points de terminaison de gestion SD-WAN Cisco exposés.
Cisco attribue ces attaques à UAT-8616, un groupe d'acteurs de menaces caractérisé par :
Le comportement observé des attaquants comprend :
L'exploitation de l'infrastructure SD-WAN est particulièrement dangereuse car un compromis au niveau de la couche d'orchestration permet une manipulation réseau globale sur tous les sites connectés.
L'exploitation réussie de CVE-2026-20127 peut permettre à un attaquant d'effectuer les actions suivantes :
Les attaquants peuvent créer et enregistrer un nœud pair malveillant qui rejoint l'infrastructure du plan de gestion/contrôle SD-WAN. Une fois accepté par le contrôleur, le pair rogue peut interagir avec les composants internes en tant qu'appareil de confiance.
La vulnérabilité permet aux attaquants de contourner entièrement les mécanismes d'authentification, éliminant ainsi le besoin d'identifiants administratifs valides.
En interagissant avec les services internes après l'accès initial, l'attaquant peut obtenir des privilèges administratifs complets sur l'interface de gestion SD-WAN.
L'exploit permet aux attaquants d'interagir avec le service NETCONF exposé sur le port TCP 830, utilisé pour la gestion de la configuration réseau.
L'accès NETCONF peut permettre aux attaquants de :
Étant donné que Cisco SD-WAN utilise une orchestration centralisée, un attaquant disposant d'un contrôle administratif peut :
Dans les grands déploiements, cela fournit effectivement un contrôle sur l'ensemble de l'infrastructure WAN.
Ce dépôt contient une implémentation de preuve de concept de niveau recherche démontrant l'exploitation de CVE-2026-20127.
La PoC est conçue pour illustrer :
L'implémentation est intentionnellement structurée pour l'analyse et la reproductibilité dans des environnements de test contrôlés.
Ce projet est destiné à :
Il permet aux défenseurs et aux chercheurs de mieux comprendre :
Cet exploit ne doit être exécuté que dans des environnements de laboratoire contrôlés tels que :
Les tests contre des systèmes de production sans autorisation sont fortement déconseillés et peuvent violer les lois ou politiques applicables.
Ce dépôt et tout le code associé sont fournis strictement à des fins éducatives, de recherche et de sécurité défensive.
En accédant, téléchargeant ou utilisant tout matériel de ce dépôt, vous acceptez les conditions suivantes :
L'exploitation non autorisée de vulnérabilités contre des systèmes sans permission est illégale dans de nombreuses juridictions.
ZeroZenX
Les contributions qui améliorent la documentation, l'analyse ou les perspectives défensives liées à la vulnérabilité sont les bienvenues.
Veuillez vous assurer que les contributions restent alignées sur l'orientation recherche et sécurité défensive du dépôt.
Le crédit revient aux chercheurs en sécurité et aux équipes de réponse aux incidents qui ont enquêté et divulgué l'activité d'exploitation associée à CVE-2026-20127 et ont contribué à sensibiliser aux risques affectant l'infrastructure Cisco SD-WAN.
Leur travail aide les défenseurs à mieux comprendre les menaces émergentes ciblant les plateformes modernes d'orchestration réseau.
