Cisco Catalyst SD-WAN Managerに未認証で管理者権限を奪われる脆弱性、CVSS 9.8の緊急警告

要点

• Cisco Catalyst SD-WAN Managerに、リモートの第三者が認証なしで管理者権限を取得できる脆弱性（CVE-2026-76504）が判明した。

• 原因はAPIセッションベース認証におけるURIエンコーディングの不適切な処理であり、細工したHTTPリクエストによってアクセス制限ルールを迂回できる。

• シスコシステムズによる深刻度評価（CVSS v3.1）は最高水準に近い「9.8（CRITICAL）」と判定されている。

• 米CISAは悪用が確認された脆弱性（KEV）カタログに本件を追加し、2026年10月3日までの迅速な緩和策適用などの対応を求めている。

• 米シスコシステムズ（Cisco Systems）のSD-WAN管理ソフトウェア「Cisco Catalyst SD-WAN Manager」において、未認証のリモート攻撃者が管理者（admin）権限でシステムにアクセス可能となる深刻な脆弱性「CVE-2026-76504」が公表された。米国標準技術研究所（NIST）の脆弱性データベース（NVD）および米サイバーセキュリティ・インフラセキュリティ庁（CISA）の公開情報により明らかになった。シスコによる深刻度評価の基本スコアは10点満点中9.8（CRITICAL）と極めて高く、米CISAも迅速な対応を義務付けるカタログに対象を追加している。

認証ルールを迂回するURLエンコードの不備

本脆弱性は、Cisco Catalyst SD-WAN ManagerのAPIセッションベース認証管理の仕組みに起因する。SD-WAN Managerはネットワーク環境を一元的に監視・制御する管理ソフトウェアだが、APIエンドポイントへのアクセス制御において、HTTPリクエストに含まれるURIエンコード（URLなどの文字列を特殊な16進数形式に変換する処理）の扱いに不備が存在するという。

脆弱性の分類としては「URLエンコード（Hexエンコード）の不適切な処理」を示す「CWE-177」に該当する。本来であれば特定のAPIエンドポイントに対して厳格なアクセス制限ルールが適用される仕様となっているが、攻撃者が細工したURIを含むHTTPリクエストを対象システムのAPIへ送信することで、この認証ルールをすり抜けることが可能になる。このバイパスが成功した場合、事前の認証を経ていない遠隔の攻撃者であっても、管理者（admin）ユーザーの権限でAPIに直接アクセスし、システムを操作できる状態に陥ると説明されている。

CVSSスコア9.8、ネットワーク経由・特権不要で悪用可能

シスコシステムズは、CVEの採番・評価組織（CNA）として本脆弱性のCVSS v3.1基本スコアを「9.8（CRITICAL）」と算定した（CVSSは情報システムの脆弱性の深刻度を客観的な数値で表す標準規格）。

評価ベクター（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）の内訳によると、攻撃元区分（AV）はネットワーク経由（N）、攻撃の複雑さ（AC）は低（L）、必要な特権レベル（PR）は不要（N）、ユーザー関与（UI）も不要（N）と評価されている。スコープ（S）は変更なし（U）であるものの、機密性（C）、完全性（I）、可用性（A）への影響度はいずれも最高度の「High（H）」と判定された。

この評価は、事前のログイン権限や正規ユーザーの操作を介することなく、ネットワーク越しに比較的容易に攻撃が成立し、システムの全面的な権限掌握につながる危険性を示している。なお、NVDによる追加情報の関連付けや独自のスコア評価（エンリッチメント処理）は現在進行中とされている。

影響を受ける製品バージョン

公開された製品影響情報によると、脆弱性はCisco Catalyst SD-WAN Managerの幅広いバージョンに及んでいる。

具体的には、18.3.6、18.3.7、18.3.8、17.2.10、18.3.6.1などが挙げられており、登録情報では合計23に上るバージョンが影響対象としてリストアップされている。複数のリリース系列にわたって同様の認証処理が用いられていたことが示されている。

米CISAがKEVカタログに追加、緊急対応を要求

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月30日、本脆弱性を「悪用が確認された脆弱性（KEV）カタログ」に追加した。KEVカタログは、実際の環境で脅威アクターによる悪用が確認された脆弱性を集約し、米連邦政府機関などに対して優先的な対策を義務付けるリストである。

CISAが提示した対応期日（Due Date）は、カタログ追加日からわずか3日後となる「2026年10月3日」に設定された。連邦政府の運用指令である「BOD 22-01」およびリスクに基づくセキュリティ更新の優先順位付けを定めた「BOD 26-04」に基づき、管理者はシスコが提示する手順に沿って速やかに緩和策を講じること、さらにCISAの「フォレンジックトリアージ要件」に準拠することが求められている。クラウドサービス環境においても適用可能なBOD 26-04ガイダンスに従う必要があり、有効な緩和策が利用できない場合には製品の使用を停止する判断が求められる。管理責任者には、各資産のインターネット露出状況を評価し、パッチガイドラインに厳格に沿って対処することが求められている。

シスコは本件に関するセキュリティアドバイザリを公開しており、公式情報を通じた修正や緩和策の確認が進められている。