Aanvallers maken op grote schaal misbruik van een kritieke kwetsbaarheid in Cisco Catalyst SD-WAN Controller, zo stelt securitybedrijf WatchTowr. Onlangs liet het Nationaal Cyber Security Centrum (NCSC) weten dat er proof-of-concept (PoC) exploitcode voor het probleem online was verschenen. "Daarom benadrukken we wederom om de updates met spoed te installeren als je dat nog niet hebt gedaan. Door de beschikbaarheid van de PoC neemt de kans op grootschalig misbruik toe en verwachten we een toename in scan- en misbruikverkeer", aldus de overheidsinstantie.

De Cisco Catalyst SD-WAN speelt een cruciale rol in de SD-WAN oplossing van Cisco. SD-WAN staat voor Software-Defined Wide Area Network en is een oplossing waarmee organisaties netwerkinfrastructuur en -connectiviteit op meerdere locaties kunnen beheren. Een kwetsbaarheid in de Controller (CVE-2026-20127) maakt het mogelijk voor een ongeauthenticeerde remote aanvaller om de authenticatie te omzeilen en adminrechten op het systeem te krijgen. Hiervoor volstaat het versturen van speciaal geprepareerde requests naar kwetsbare appliances. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 10.0.

Zowel Cisco als cyberagentschappen waarschuwden op 25 februari dat aanvallers actief misbruik van CVE-2026-20127 maakten. De kwetsbaarheid zou al drie jaar lang bij aanvallen zijn ingezet, aldus Cisco. Het NCSC waarschuwde vervolgens dat het grootschalig misbruik van het probleem verwachtte. Dat is inmiddels ook het geval, aldus WatchTowr. "Dit niet langer meer de gerichte activiteit die eerder werd beschreven, maar is nu internetbreed en groeiende", zegt hoofd Threat Intelligence van het securitybedrijf tegenover SecurityWeek. Hij verwacht dat meer aanvallers zich op de kwetsbaarheid zullen storten. "Vanwege het grootschalige en opportunistische misbruik dat nu plaatsvindt, moet elk blootgesteld systeem als gecompromitteerd worden beschouwd, tenzij het tegendeel is bewezen."