Cisco ISEにCVSS10.0欠陥、悪用確認で修正公開

Ciscoがネットワーク接続制御基盤であるIdentity Services Engineに存在する重大な認証回避の欠陥を公開した。 欠陥番号はCVE-2026-76460であり、共通脆弱性評価であるCVSSで最高値の10.0が付与されている。 認証を必要とせず遠隔から悪用が可能であり、成功すればroot権限での命令実行に至る。 同社は悪用が実際に確認されているとして、利用者に対して修正版の即時適用を求めている。 The Register の Carly Page の報道では、米国時間9月17日に詳細が伝えられたとされている。

対象はIdentity Services EngineとISE Passive Identity Connectorである。 いずれも企業網における接続認証や方針適用を担う中核装置に位置付けられる。 管理用画面の裏側にある応用計画連携口に認証制御の不備が存在した。 攻撃者は細工した要求を送ることで管理画面の認証を回避できる。 資格情報や利用者の操作は不要であり、設定内容にかかわらず影響を受けるとされる。

同社の製品安全事件対応班は悪用の事実を把握していると説明した。 米サイバー安全保障基盤安全庁も既知の悪用脆弱性目録に本欠陥を追加した。 管理対象網の入口を守る装置自体が乗っ取られる事態である。 侵害後に証跡が消去される恐れも指摘されている。 初動の遅れが被害拡大に直結する構造だ。

認証回避が成立する技術的構造と条件

本欠陥の問題は、ISEが備える応用計画連携口の認証制御にある。 本来は管理画面経由でのみ許可される操作が、直接要求によって実行可能だった。 Ciscoの説明では、特定の連携口に対する認証確認が不十分であったとされる。 攻撃者は網を通じて到達可能であれば、資格情報なしに命令を送り込める。 利用者側の操作を誘発する必要もない。

影響は単なる情報漏えいにとどまらない。 認証回避後に管理機能へ到達し、基盤OS上でroot権限の命令実行が成立する。 root権限の奪取は記録の改変や削除を可能にする。 装置内部の記録だけでは侵害の有無を判断できない恐れがある。 外部に保管された通信記録との突合が不可欠になる。

設定による回避は期待できない点も重い。 Ciscoは脆弱な版のISEとISE-PICについて、構成にかかわらず影響を受けると説明した。 分散設定の有無や方針の厳格さは防御にならない。 公開された連携口が管理網や制御平面に露出している場合、危険性は増す。 基盤への到達可能性そのものを断つ対策が求められる。

Cisco “strongly recommends” reimaging affected nodes and restoring their configurations from backup if necessary.

上記は侵害の痕跡が見つかった場合の対応に関する同社の強い推奨である。 初期化と復元を前提とした復旧手順が示された。 一度rootを奪われた装置の信頼回復は容易ではない。 記録の確認と再構築の両面で作業が発生する。

連続する重大欠陥と対応経緯の整理

今回の公開は単発の事案ではない。 数日前にも電子郵便関連装置の重大欠陥CVE-2026-76461が公開されていた。 対象はSecure Email GatewayとSecure Email and Web Managerである。 CVSSは9.8であり、こちらもroot権限の奪取につながる内容だった。 同社は侵入後に攻撃者が痕跡を隠す可能性に言及していた。

電子郵便防御装置の更新作業に追われた管理者が、続けてISE対応を迫られた形だ。 いずれも認証不要で遠隔からrootに至る点で共通する。 防御の要である装置が連続して標的になった。 運用現場の負荷は短期間に集中している。 優先順位の判断と変更管理の迅速化が試されている。

Ciscoは9月に入り複数のIOS XR関連欠陥を束ねた更新も出している。 基盤製品群全体で修正作業が重なっている。 Microsoft Defenderの特権昇格脆弱性「RoguePlanet」公開で伝えられた防御機構自体の欠陥と同様、今回も信頼の起点が揺らいでいる。 防御製品の欠陥は通常の応用計画の欠陥より波及が大きい。 単一装置の侵害が網全体の認証基盤の崩壊につながるためだ。 連続公開は供給網全体の保守体制に負荷をかけていると見る。

公開手順にも特徴がある。 Ciscoは悪用の事実を認めた上で修正版の即時適用を求めた。 米当局の目録登録も迅速に進んだ。 情報公開と悪用の時間差が極めて小さい。 管理者は詳細解析を待たずに対応する必要がある。 事後対応型の運用では間に合わない段階に入っている。

ログ確認と復旧における実務対応

Ciscoは恒久対策として修正版への更新を求めている。 回避策は存在しないと明言した。 一時的な緩和策として基盤接続制御目録の活用が示された。 管理通信と制御平面宛ての通信が対象である。 影響を受ける装置への到達を制限し、露出面を狭める手法だ。

恒久的な解決は更新以外にない。 分散設定では全節点の版上げが必要になる。 一部のみ更新した状態では認証基盤全体の信頼は回復しない。 保守窓の確保と構成退避を並行して進める必要がある。 復旧手順の事前確認が作業時間を左右する。

侵害有無の確認手順も具体的に示された。 各節点の接続記録において不審な利用者名の有無を確認すること。 装置外に保管された網や防御壁の記録を調べること。 想定外の上り下り通信の痕跡が手掛かりになる。 装置内部の記録は改変されている可能性があるため、外部記録が重視される。

証跡が見つかった場合の対応は重い。 Ciscoは影響を受けた節点の初期化を強く推奨した。 必要に応じて構成を待避から復元する手順である。 単なる修正適用では信頼が回復しない。 初期化と再構築を前提とした計画が求められる。

運用面では管理網の分離が改めて問われる。 管理用連携口を一般利用者網から到達可能にしない設計が基本だ。 接続制御目録や防御壁方針の棚卸しが必要になる。 特権接続の記録を外部に集約する構成も有効である。 今回の事案は設計と運用の両面の見直しを促すと評価する。

編集部の見解

短期的影響について記す。今後3か月から6か月ではISE利用組織での緊急更新が集中すると見る。電子郵便装置の対応と重なり、保守要員の不足が顕在化する可能性がある。外部記録の点検や初期化作業が加わり、運用費は一時的に増大すると見る。攻撃側は自動走査を強めるとみられ、露出装置の選別が進むと評価する。

長期的視点について記す。1年から3年では認証基盤の分離と外部記録保全が標準要件になると見る。管理連携口の公開範囲を常時監視する運用が普及すると評価する。防御製品自体の堅牢性が調達条件に加わり、版上げ体制の有無が選定基準になると見る。供給者の連続公開は信頼再構築の速度を試す材料になると評価する。

編集部からの問いを記す。管理基盤の到達可能性をどこまで狭められるかが問われていると考える。内部記録が改変され得る前提で、外部証跡をどう残すかが論点である。初期化を即断できる復元手順を持つ組織はどれほどあるだろうか。防御装置の集中管理と分散危険の均衡をどう取るべきだろうか。

参考

• 「Cisco drops another exploited zero-day, this time a perfect 10」, by Carly Page — The Register, 2026-09-17T12:40:00.000Z (ARR)
• 元記事URL: https://www.theregister.com/security/2026/09/17/cisco-drops-another-exploited-zero-day-this-time-a-perfect-10/5297180