OWN NEWS GATHER
← 戻る
The Hacker News

CiscoのSD-WAN管理製品に深刻な認証回避の脆弱性、米CISAが悪用確認済みリスト「KEV」へ追加

要点

  • 米CISAが、Cisco Catalyst SD-WAN Managerに存在する重大な認証回避の脆弱性（CVE-2026-76504）を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

  • 本脆弱性のCVSSスコアは9.8と評価されており、遠隔の第三者が認証を経ずに細工したリクエストを送信し、管理者権限を取得できる危険性がある。

  • シスコは2026年9月に悪用を確認し侵害指標（IoC）を公開したが、攻撃者の素性や被害組織数などの詳細は公表していない。

  • 米連邦機関に対しては2026年10月3日までの修正適用が義務付けられており、同製品を運用する一般組織にも迅速な更新とログ監査が推奨されている。

  • 米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ネットワーク機器大手シスコシステムズの管理ソフトウェア「Cisco Catalyst SD-WAN Manager」に存在する重大な脆弱性が実際の攻撃で悪用されていることを受け、同庁の「悪用が確認された脆弱性カタログ（KEV）」に追加したことを明らかにした。対象となる脆弱性は、遠隔から認証なしで管理者権限を不正に取得できるもので、共通脆弱性評価システム（CVSS）のスコアは最大値に近い9.8と極めて高い危険度を示している。

  • シスコは2026年9月に本脆弱性の悪用を把握したと発表しており、被害の有無を調査するための侵害指標（IoC）を公開して警戒を呼びかけている。

脆弱性の概要と管理者権限の不正奪取リスク

今回KEVに追加された脆弱性は「CVE-2026-76504」として追跡されている。CISAの発表によると、Cisco Catalyst SD-WAN Manager（企業の大規模ネットワークを一元的に構成・管理するソフトウェア）において、HTTPリクエスト内のURIエンコーディング（16進数表記の文字列）を適切に処理できない不備が存在することが原因だという。

この脆弱性が悪用された場合、遠隔の攻撃者は正規の認証手続きを経ることなく、対象システムのAPIに対して細工したHTTPリクエストを送信するだけで認証処理を迂回できる。その結果、攻撃者は最上位権限を持つ管理者（admin）ユーザーとしてAPIにアクセスし、システムを不正に操作できるようになる。

悪用の確認状況とシスコが公開した侵害指標

シスコによると、同社は2026年9月中にCVE-2026-76504が悪用されている事実を認識した。同社は顧客が自組織の環境で攻撃被害の有無を確認できるよう、侵害指標（IoC：攻撃を受けた痕跡を特定するための技術的情報）を提示している。

具体的には、以下の2つのログファイルについて不審な記録がないか監査することを求めている。

  • /var/log/nms/containers/service-proxy/serviceproxy-access.log を確認し、身元不明または許可されていないIPアドレスから j_security_check に関連するアクセスがないか監査する。
  • /var/log/nms/vmanage-server.log を確認し、身元不明または許可されていないIPアドレスから j_security_check が呼び出されていないか監査する。特にユーザー名が viptela-reserved- で始まるアカウントに対して呼び出しが行われている痕跡を重点的に確認する。

なお、シスコは今回の攻撃活動に関する具体的な詳細や、攻撃の背後にいるグループ、これまでに侵害された組織の数、および最初に悪用が確認された日時などの詳細については言及していない。

米国の連邦文民機関（FCEB：国防総省などを除く一般の行政機関）に対しては、CISAの規定に基づき2026年10月3日までに修正パッチを適用することが求められている。

標的となりやすい統合管理基盤と専門家の指摘

セキュリティ企業watchTowrの脅威インテリジェンス責任者であるジェイク・ノット（Jake Knott）氏は、Cisco SD-WAN製品がサイバー攻撃者から継続して強い関心を集めている現状を指摘している。

ノット氏の声明によると、Cisco SD-WANはCISAのKEVカタログにおいて常連のような存在となっており、2026年に入ってからだけでも2026年採番の脆弱性が8件もKEVに登録されているという。同氏は、この状況は攻撃者が同プラットフォームの持つ価値の高さを明確に認識していることの表れであり、今後もこうした攻撃の勢いが衰える可能性は低いとの見解を示している。

さらに、企業の大規模ネットワークを1つの画面で管理・構成・監視する統合管理基盤（single-pane-of-glass）として使われている以上、攻撃者にとって格好の標的になるのは当然であり、驚くべきことではないと述べている。

推奨される対応

Catalyst SD-WAN Managerを運用している組織に対し、シスコおよび専門家は修正済みバージョンへの速やかなアップグレードを呼びかけている。あわせて、ベンダーのガイダンスに従い、/j_security_check のURLエンコードされた各種バリエーションに対するPOSTリクエストの有無を調査し、システムに侵害の兆候がないか入念に確認することが推奨されている。

元URL