シスコはIOS XE Software向けのセキュリティ強化アップデートをリリースし、社内で発見された7件の脆弱性を修正しました。この中には、未認証の攻撃者によるリモートコード実行を可能にする、CVSSスコア9.8の最大深刻度に評価された重大な欠陥も含まれています。
2026年8月5日に公開されたアドバイザリcisco-sa-hardening-iosxe-V8NMuMZJ（バージョン1.0、最終版）は、シスコのIOS XEエンジニアリングチームによる自発的な社内セキュリティレビューの成果です。
外部の研究者による報告やバグバウンティの提出をきっかけとする通常の開示とは異なり、これらの脆弱性は既存のQAプロセスと最先端のAIモデルを組み合わせた社内テストによって発見されたと、シスコは確認しています。
シスコは今回、バグごとに個別のCVEを発行するのではなく、根本となるCommon Weakness Enumeration（CWE）の分類ごとにバグをグループ化し、脆弱性カテゴリーごとに単一のCVE IDを割り当てました。アドバイザリ全体の深刻度は「Critical」とされており、回避策は存在しません。
最も深刻な欠陥であるCVE-2026-20272は、特殊要素の不適切な無害化に起因するもので、インジェクション攻撃を可能にし、完全なリモートコード実行につながる恐れがあります。つまり、リモートから悪用可能で、認証もユーザー操作も一切必要としません。
これらの脆弱性は、デバイスの設定にかかわらず、自律モードまたはコントローラーモードで稼働するCisco IOS XE Softwareに影響し、対象となるリリースは17.9、17.12、17.15、17.18、26.1です。
Cisco Catalyst 3650および3850シリーズスイッチは、これらのリリースを実行していないため今回のレビュー対象から除外されています。影響が確認された場合は別途パッチが提供される予定です。
シスコのPSIRTは、パッチ提供前にこれらの脆弱性が悪用された痕跡や公開された事実はないとしています。つまり今回の修正は、実際の攻撃を受けての対応ではなく、先手を打った予防的な措置です。
しかし、IOS XE展開の深刻度とネットワークに直接さらされるという性質を踏まえると、技術的な詳細が明らかになり次第、脅威アクターが速やかにパッチをリバースエンジニアリングしてくることが予想されます。これは過去のIOS XEに関するCVEでも繰り返し見られたパターンです。
シスコが回避策は存在しないと確認していることから、修正済みリリースへの即時アップグレードが唯一の緩和策となります。
自律モードまたはコントローラーモードで影響を受けるIOS XEバージョンを稼働させているネットワーク管理者は、特にインターネットに公開されている機器や管理プレーンが露出している機器を優先し、パッチの適用を急ぐべきです。CVE-2026-20272が未認証によるリモートコード実行につながる可能性があるためです。
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN. Gain complete phishing visibility to strengthen your SOC and reduce MTTR
翻訳元: https://cyberpress.org/cisco-patches-critical-ios-xe-vulnerabilities/
