シスコ、CrossworkおよびSecure Workloadの脆弱性9件を修正——うち5件は最大深刻度「CVSS 10.0」

要点

• シスコシステムズが、ネットワーク管理およびワークロード保護製品群を対象としたセキュリティアップデートを公開した。

• 修正対象となった脆弱性は計9件で、そのうち5件は共通脆弱性評価システムで最高値となる「CVSSスコア10.0」と評価されている。

• 影響を受ける製品は「Cisco Crosswork」関連の3製品と、「Cisco Secure Workload」のSaaS版およびオンプレミス版である。

• いずれの欠陥も同社内部のセキュリティ監査で特定されたものであり、現時点で悪用は確認されていない。

• シスコシステムズ（Cisco）は2026年8月21日、大規模ネットワーク自動化プラットフォーム「Cisco Crosswork」シリーズおよびワークロード保護ソフトウェア「Cisco Secure Workload」に存在する計9件のセキュリティ脆弱性を修正するアップデートを公開した。今回修正された脆弱性のうち5件は、脆弱性の深刻度を0から10の数値で評価する共通脆弱性評価システム「CVSS（Common Vulnerability Scoring System）」において、最高深刻度となる「10.0」と判定されている。同社は継続的に進めている包括的な内部セキュリティ監査の一環としてこれらを特定したと説明しており、該当製品の利用企業に向けて速やかなアップデート適用を呼びかけている。

Crosswork製品群で判明した4件の欠陥

「Cisco Crosswork」は、サービスプロバイダーや大企業向けにネットワーク運用の自動化やデータ収集・分析を支援するソフトウェア群である。同社が公開したセキュリティアドバイザリによると、以下の3製品において機器の設定状態にかかわらず影響を受ける脆弱性が4件特定された。

• CVE-2026-20030（CVSSスコア：10.0）：SQLインジェクション（データベースを不正に操作する攻撃手法）の脆弱性。
• CVE-2026-20357（CVSSスコア：10.0）：重要な機能に対する認証処理が欠落している脆弱性。
• CVE-2026-20358（CVSSスコア：10.0）：ファイルシステムが外部から不正に制御可能となる脆弱性。
• CVE-2026-20359（CVSSスコア：9.9）：認証情報の保護が不十分である脆弱性。

これらの欠陥は、「Crosswork Data Gateway」「Crosswork Network Controller」「Crosswork Planning」の各製品において、リリースバージョン7.2.1およびそれ以前の環境に影響する。シスコは修正版として「バージョン7.2.1-SP」をリリースしており、該当バージョンへの更新を促している。

Secure Workloadに影響する5件の脆弱性

あわせて修正が発表された「Cisco Secure Workload」は、クラウドやデータセンター環境におけるワークロード（稼働中のアプリケーション群）の通信を可視化・保護するセキュリティプラットフォームである。本製品では、SaaS型およびオンプレミス型の両方の導入環境において、計5件の脆弱性が解消された。

• CVE-2026-20231（CVSSスコア：9.9）：OSコマンドインジェクションや引数インジェクションなど、特殊要素の不適切な無力化に起因する一連の脆弱性。
• CVE-2026-20315（CVSSスコア：10.0）：認可や認証のバイパス、権限処理の不備など、アクセス制御の不適切さに起因する一連の脆弱性。
• CVE-2026-20317（CVSSスコア：10.0）：認証の欠落やバイパス、信頼できない入力値への依存など、認証機構の不備に関する一連の脆弱性。
• CVE-2026-20318（CVSSスコア：9.6）：パストラバーサル（不正なファイルパス指定によるファイル閲覧）や外部パス制御を含む、入力値検証の不備に関する一連の脆弱性。
• CVE-2026-20319（CVSSスコア：7.5）：バッファオーバーフロー（メモリ領域外へのデータ溢れ）や境界外への書き込みなど、メモリバッファ操作の制限不備に起因する一連の脆弱性。

これらの脆弱性は、以下のバージョンで修正パッチが提供されている。

• Cisco Secure Workload バージョン3.10以前：バージョン「3.10.9.1」にて修正
• Cisco Secure Workload バージョン4.0：バージョン「4.0.4.16」にて修正

内部監査による発見と悪用の有無

シスコによると、今回公表された9件の脆弱性はいずれも同社の社内テスト工程において発見されたものだという。同社は「これらの脆弱性は内部検証中に特定されたものであり、実際に悪用された事例は確認されていない」と説明している。その上で、将来的な攻撃リスクや被害を未然に防ぐため、管理者に対して速やかに該当する修正プログラムを適用するよう求めている。

相次ぐ内部レビューとセキュリティ強化の背景

シスコでは現在、製品群の堅牢性を高めるための包括的な内部セキュリティ監査を継続して実施している。今回の発表の約2週間前にも、同様の内部レビューの結果として「Catalyst SD-WAN」および「IOS XE Software」に影響する12件の脆弱性に対する修正がリリースされたばかりである。同社はこの一連の取り組みについて、社内で発見された複数の脆弱性に対処し、ソフトウェアを強化（ハーデニング）するためのリリースであると位置づけている。

企業の基幹ネットワークにおいてシスコ製品が広く利用されていることから、同社製機器はサイバー攻撃者にとって狙われやすい対象となっている。過去にも不正アクセスの獲得やマルウェアの展開を目的として、同社製品の脆弱性が繰り返し悪用されてきた経緯がある。直近では2026年8月初旬にも、ファイアウォール製品「Secure Firewall ASA」および「Secure Firewall FTD」に存在する脆弱性（CVE-2026-20349、CVSSスコア：8.6）が実際に攻撃に悪用されているとして、同社が注意喚起を行っていた。