シスコは水曜日、企業向けメールセキュリティ製品「Secure Email」に存在する2件の未パッチ脆弱性が一般に公開されたと警告しました。
これら2つの脆弱性はCVE-2026-20354およびCVE-2026-20355として追跡されており、脅威防御ソリューションのS/MIME（Secure/Multipurpose Internet Mail Extensions)復号機能に影響する中程度の深刻度の問題です。
シスコによると、メッセージの完全性検証が不十分であるため、攻撃者が中間者(MitM)攻撃の手法を用いてメールゲートウェイ間の通信を傍受し、改ざんできる可能性があるとしています。
シスコはセキュリティ勧告の中で、「悪用に成功した攻撃者は、暗号化された通信から平文の内容を取得できる可能性がある」と述べており、S/MIMEを有効にしたAsyncOSバージョン16.5.0以前を実行しているすべてのSecure Emailデバイスが影響を受けるとしています。
シスコはこれらの脆弱性がすでに一般公開されていると警告する一方、現時点でこれらが実際に悪用された事例は確認されていないとしています。
同社は水曜日、IOS XRおよびNexus 9000シリーズスイッチにおける複数の重大な深刻度のセキュリティ欠陥に対するパッチも発表しました。これらの脆弱性はリモートコード実行(RCE)、認証バイパス、コードインジェクションなど、さまざまな種類の攻撃につながる恐れがあります。
IOS XR向けの修正では、根本的な脆弱性の分類に基づいてグループ化された複数のバグが7件のCVEのもとで解決されています。このうちCVSSスコア9.8を記録した2件、CVE-2026-20274とCVE-2026-20279には、それぞれメモリ破損・メモリ安全性に関するバグと、不適切なアクセス制御の問題が含まれています。
Nexus 9000シリーズスイッチについては、CVE-2026-20212(CVSSスコア9.8)への修正が行われました。これは、デフォルトでアクセス可能なTCPポートにリモートの攻撃者が接続し、root権限でコードを実行できてしまうというセキュリティ上の弱点です。
さらにシスコは、Session Initiation Protocol(SIP)を実行するDesk Phone 9800、IP Phone 7800および8800、Video Phone 8875シリーズのデバイスに存在する深刻度の高い脆弱性にも対処しました。
CVE-2026-20281として追跡されているこのバグは、リモートの未認証攻撃者が細工したHTTPパケットの連続的なストリームを脆弱なデバイスに送信することで、サービス拒否(DoS)状態を引き起こすことを可能にするものです。
シスコによると、パッチが適用されたこれらの脆弱性についても、実際に悪用された事例は確認されていないとのことです。詳細については、同社の勧告公開の通知を参照してください。
