セキュリティ
Secure Workload Softwareには厄介な脆弱性が5件見つかっており、SaaS利用者もアップデートが必要です
Ciscoは、かつてTetrationと呼ばれていたマイクロセグメンテーションツールであるSecure Workload Softwareに、攻撃者のネットワーク内横断的侵害を防ぐはずの製品でありながら、4件の緊急(Critical)級と1件の重要(High)級の脆弱性が存在することを明らかにしました。
CVE-2026-20315とCVE-2026-20317は、深刻度スコアが満点の10を記録した2件の脆弱性です。いずれもアクセス制御の不備に関連するものです。Ciscoはどちらについても詳細をあまり明らかにしておらず、20315については「認可、認証、権限、およびバイパスに関わるもの」、20317については「認証の欠如、認証バイパス、および信頼できない入力への依存に関わるもの」とだけ説明しています。
深刻度9.9のCVE-2026-20231は、「特殊要素の不適切な無害化(コマンド、OS、引数インジェクションを含む)」に関連する問題を示しています。
CVE-2026-20318は深刻度9.6で、入力検証の不備に関する問題です。
最後に深刻度7.5となるのがCVE-2026-20319で、オーバーフローや境界外書き込みを含む「メモリバッファの境界内での操作制限の不備」に関連する問題です。
CiscoはSecure Workload SoftwareをSaaS形式のサービスとしても、オンプレミス展開向けとしても提供しています。同社はSaaS版についてはすでに脆弱性を修正済みですが、利用者はクラウド版ソフトウェアの利用に必要なAgentおよびConnectorツールを引き続きアップグレードする必要があります。
バージョン3.10以前を導入しているオンプレミス利用者は、バージョン3.10.9.1へのアップグレードが必要です。バージョン4.0以降を利用しているユーザーは、できるだけ早く4.0.4.16を導入する必要があります。
Ciscoは木曜日にこれらの脆弱性を公表し、「既存のテストプロセスに加え、最先端のAIモデル」を用いた「包括的な社内セキュリティレビュー」の結果として発見したと述べています。
Ciscoは、Anthropicの一般公開には強力すぎるとされるバグ発見モデル「Mythos」へのアクセスを提供するProject Glasswingへの参加が知られています。つまり、今回の調査に関わった「最先端モデル」とはこれのことかもしれません。
幸いにも、Ciscoはこれらの脆弱性が悪用された形跡は検出されていないとしています。 ®
