一、问题：核心管理节点再现“被盯上”的高频预警 思科产品安全事件响应团队近日发布安全通告称，Catalyst SD-WAN Manager存在两项新披露漏洞，并已观察到在真实环境中被利用的情况。该平台通常承担企业SD-WAN的集中管控、策略下发与设备编排——一旦管理端受到入侵——攻击者可能获得对广域网策略与关键链路的更大操作空间。通告发布的时间点距此前针对SD-WAN的多方预警仅隔数日，显示攻击者对网络管理面的关注并未降温，防护“时间差”正在缩小。 二、原因：管理面集中化与攻击链成熟叠加，放大了风险价值 业内人士指出，SD-WAN以集中控制、快速开通、统一运维等优势成为不少机构网络改造的“标配”。但集中化架构也意味着管理平台“价值密度”更高：一处突破可影响多点设备与多条业务链路。 从漏洞类型看，CVE-2026-20122被评为高危，攻击者在通过身份验证的前提下，可覆盖任意本地文件。此类能力一旦被利用，可能被用于写入恶意脚本或替换关键组件，为后续横向移动、持久化控制铺路。CVE-2026-20128则涉及信息泄露，允许本地攻击者以特定代理权限读取敏感文件，虽不必然直接导致权限提升，却可能帮助收集凭证、配置与日志等“二次利用材料”，为更复杂的攻击链提供支撑。 需要指出，近期围绕SD-WAN的联合预警增多。此前多国网络安全机构曾提示，部分早期漏洞可能被用于植入恶意对等体，进而干预路由决策并实现长期潜伏。这类战术与管理面漏洞形成“前后呼应”，反映出攻击活动正从单点突破向体系化控制演进。 三、影响：从信息窃取到业务中断，外溢效应不容低估 对企业来说，SD-WAN管理平台一旦受控，风险并不局限于某台服务器。其可能带来的连锁影响包括： ——策略被篡改引发链路绕行、访问异常甚至业务中断； ——配置、证书、日志等敏感资产外泄，增加后续钓鱼、口令喷洒与横向渗透概率； ——攻击者借助“合法管理功能”掩护行为轨迹，提高发现难度，延长潜伏时间； ——对分支机构与云接入环境造成波及，扩大处置成本和恢复时间。 在数字化转型背景下，广域网包含着跨地域办公、工业互联网接入、线上交易与客户服务等关键流量。一旦攻击发生在网络“控制中枢”，其影响可能迅速外溢到生产、服务与数据合规层面，进而带来声誉与监管风险。 四、对策：把“补丁+身份+监测”作为底线组合，压缩可乘之机 针对已披露并被指遭利用的漏洞，业内建议对应的用户采取更具确定性的处置路径： 第一，尽快完成软件/固件升级并核验版本一致性。升级后应按厂商要求完成重启与服务检查，避免“补丁未生效”“组件未更新”等情况留下缺口。 第二，提升管理入口防护强度。对管理界面强制多因素认证，清理不必要账户与权限，严格执行最小权限原则，减少本地交互式登录与非必要管理暴露面。 第三，强化日志审计与入侵检测联动。围绕关键目录与敏感文件访问建立告警规则，重点关注异常写入、异常进程启动、配置突变及权限变更等信号，并将管理平台与分支设备日志纳入统一关联分析。 第四，做好分级隔离与应急预案。将SD-WAN管理面与业务面隔离，限制管理端对外连通范围；同时预置回滚与替换方案，确保在紧急处置时能快速恢复策略与链路。 五、前景：预警密集或成常态，治理重心需从“事后修补”前移 从近期连续通报可以看出，围绕网络基础设施与管理平台的攻防对抗趋于激烈。短周期、多漏洞、被动应对的模式，容易让企业陷入“追着补丁跑”。更可取的路径，是将关键网络管理系统纳入持续风险评估：定期核查暴露面、审计权限、演练应急处置，并将供应商通告、威胁情报与内部资产清单联动，形成可执行的闭环。 同时，是否存在与既有攻击组织或既往利用链的关联，目前公开信息有限。对此类不确定性，企业更应以“已被利用”为最高优先级信号，遵循先止损、再溯源、后加固原则，避免在信息不完整时犹豫观望。
网络安全的关键不在于是否会出现漏洞，而在于能否把攻击者可利用的时间和空间压缩到最低。面对SD-WAN这类“集中管控、牵一发而动全身”的基础设施，及时修补只是起点，更重要的是通过制度化的权限治理与可验证的监测审计建立持续防护能力，把被动应对转化为可持续的韧性。