Ciscoは日本時間2026年10月22日、Expresswayシリーズで認証されていない攻撃者がroot権限のOSコマンドを実行できる脆弱性CVE-2026-76466を公表しました。Ciscoによる評価はCVSS v3.1で9.8、Criticalです。対象は、脆弱な版を使い、クラスタを構成しているExpressway-CとExpressway-Eです。クラスタを組まない構成にも、別の脆弱性が同時に公表されています。回避策はなく、Ciscoは修正版への更新を推奨しています。
対象製品と攻撃の条件
公式アドバイザリは、Expressway Core (Expressway-C)とExpressway Edge (Expressway-E)の仮想版・アプライアンス版の両方を対象にしています。
問題があるのはデータベースサービスです。Ciscoは原因として、永続的なCookieを使っていることと、クラスタのTLS Verify ModeをEnabledにしてもクライアント証明書を検証しないことを挙げています。分類はCWE-798(ハードコードされた認証情報の使用)です。
Ciscoは、攻撃に認証は不要と評価しています。成立には、このCookieを保持していることと、データベースサービスへネットワーク経由で到達できることが必要です。Cookieの入手方法は公表されていません。これらの条件を満たす攻撃者が特定のRPCを呼び出すと、root権限の任意コマンドを実行できる可能性があります。初版の告知では、Cisco PSIRTは本脆弱性に関する公開情報や悪用を把握していないとしています。
修正版はX15.5.20、X14以前は移行
Ciscoがクラスタ構成について示す影響版と更新先は次のとおりです。
| 影響を受ける版 | 修正済みの版・対応 |
|---|---|
| X14系列以前 | 修正済みのリリースへ移行(告知の修正版はX15.5.20) |
| X15系列のX15.5.3以前 | X15.5.20へ更新 |
Ciscoは同時に、構成を問わず、上の表と同じ範囲の版のExpressway-C/Eに影響する複数の脆弱性についても、別の告知を公表しています。修正版は同じX15.5.20です。クラスタを使っていない環境でも、この告知を確認してください。
Ciscoは、更新前に利用中の機器や構成が更新先でもサポートされるか確認し、不明な場合はTACや契約先へ相談するよう案内しています。
コメント