OWN NEWS GATHER
← 戻る
The Hacker News

シスコ、SD-WAN Managerの重大なゼロデイ脆弱性を警告　認証回避による管理者権限奪取の攻撃が発生

要点

  • シスコは、ネットワーク管理システム「Cisco Catalyst SD-WAN Manager」において、認証を回避される重大なゼロデイ脆弱性（CVE-2026-76504）の悪用が確認されたと発表した。

  • 本脆弱性の深刻度はCVSSスコアで9.8と極めて高く、遠隔の攻撃者が認証情報なしで管理者（admin）としてAPIを操作できる状態になる。

  • 根本的な回避策は存在せず、シスコは各ソフトウェア系列（リリーストレイン）に向けた修正パッチの適用を強く呼びかけている。

  • 2026年9月にサポート対応の過程で発見されたもので、すでに実際の攻撃が確認されているが、被害規模や攻撃者の詳細は公表されていない。

  • 米シスコシステムズ（Cisco）は2026年9月30日、同社のSD-WAN管理プラットフォーム「Cisco Catalyst SD-WAN Manager」に深刻なゼロデイ脆弱性が存在し、すでに悪用が確認されているとしてセキュリティアドバイザリを公開した。対象となる脆弱性「CVE-2026-76504」は、共通脆弱性評価システム（CVSS）のスコアで10点満点中9.8と評価されている。悪用された場合、認証資格情報を持たない遠隔の第三者が管理者権限でAPIを実行し、システム全体を制御下に置く危険があるという。

脆弱性の仕組みと管理者権限の奪取リスク

今回の脆弱性は、Cisco Catalyst SD-WAN Manager（企業のSD-WANネットワークを一元管理するシステム）におけるログインセッションを処理するAPI部分に存在する。同システムがHTTPリクエストに含まれるURIエンコーディング（URL内で使用できない特殊文字を特定の形式に変換する処理）を不適切に処理することが原因だという。

攻撃者は細工したHTTPリクエストを送信することで、単一のAPIエンドポイントへのアクセスを制限する認証ルールを回避できる。攻撃にあたって事前のログイン情報は一切不要であり、ManagerのAPIへリクエストを送信できる環境であれば攻撃が成立する。

SD-WAN Managerの初期設定では、管理者ユーザー（admin）にデバイス上のあらゆる操作が許可された「netadmin」ロール（権限グループ）が割り当てられている。そのため、インターネットに直接公開されている環境では、認証なしでシステム全体が掌握される重大なリスクがあると警告されている。

発見の経緯と公表された攻撃状況

シスコのPSIRT（製品セキュリティインシデント対応チーム）によると、2026年9月に本脆弱性の能動的な悪用を把握したという。この欠陥は、シスコのテクニカルアシスタンスセンター（TAC：技術サポート窓口）が個別のサポートケースに対応している過程で特定された。

なお、公開されたアドバイザリでは、攻撃を受けた顧客の数や攻撃の開始時期、攻撃主体の身元、不正アクセス後に何が実行されたかといった詳細については明らかにされていない。

影響を受けるバージョンとアップデートの状況

本脆弱性は、システムの設定内容にかかわらずSD-WAN Managerに影響を及ぼす。シスコが案内している各リリーストレイン（提供系列）における最初の修正バージョンは以下の通りである。

  • 20.9より前のリリース：修正版への移行が必要
  • 20.9系：20.9.10.1
  • 20.12系：20.12.8.2
  • 20.15系：20.15.6.1
  • 20.18系：20.18.4.1
  • 26.1系：26.1.2.1
  • 26.2系：26.2.1

今回のCVE-2026-76504は、2026年5月に修正されたCVE-2026-20182や、6月に修正されたCVE-2026-20245、CVE-2026-20262とは別個の脆弱性である。過去の修正版は今回のバージョンよりも古いため、5月や6月のアップデートを適用済みであっても改めて今回のパッチを適用する必要がある。

なお、公開された一覧には20.10、20.11、20.13、20.14、20.16の各系列や、「Cisco SD-WAN Cloud-Pro」「Cisco SD-WAN for Government（FedRAMP）」といった一部の展開タイプは記載されていない。一方で、クラウド管理型サービスである「Cisco SD-WAN Cloud (Cisco Managed)」はバージョン20.15.605で修正済みであり、ユーザー側の対応は不要とされている。

緩和策と侵害の確認手順

本脆弱性に対する根本的な回避策（ワークアラウンド）は存在しない。オンプレミス（自社運用）環境でアップデートを完了するまでの間、シスコはインターネットなど安全でないネットワークからのアクセスを制限することを推奨している。インターネット経由でのアクセスが必要な場合は信頼できるホストのみに制限し、管理コンポーネントをファイアウォールの背後に配置することが求められる。

シスコのハードニングガイドでは、管理ポート（443、22、830）を直接インターネットに公開せず、踏み台サーバーや管理用サブネット経由でアクセスさせる構成を推奨している。なお、クラウドホスト環境（Cisco Catalyst SD-WAN Cloud Hosted）では、すでにこのアクセス制限による緩和策が適用済みであるという。

あわせてシスコは、システムが侵害されていないかを調査する方法を提示している。攻撃の兆候は、セッションベースログインで使われるパス「j_security_check」に関連して現れる。例えば、文字の一部がエンコードされた「/%6a_security_check」（%6aはjを表す）といったリクエストが該当する。

確認すべきログファイルとして以下の2点が案内されている。

  • /var/log/nms/containers/service-proxy/serviceproxy-access.log
  • /var/log/nms/vmanage-server.log（特に「viptela-reserved-」で始まるシステムサービス専用アカウントのエントリ）

エンコードされる文字は任意であり、正常な運用時にも同様のエントリが記録される場合があるため、誤検知を避けるには通常のアクティビティとの比較が必要とされる。調査を依頼する場合、SD-WAN Manager上で「request admin-tech」コマンドを実行して診断ログを取得した上で、件名に「CVE-2026-76504」と記載してTACへ深刻度3（Severity 3）のケースを開くよう求められている。なお、アドバイザリには検知ルールは記載されておらず、アップデート適用によって侵入済みの攻撃者が排除されるかどうかについても言及されていない。

元URL