Cisco、FMC・ISE・Nexus Dashboardの脆弱性数十件を修正

Ciscoは水曜日、Secure Firewall Management Center(FMC)、Identity Services Engine(ISE)、Nexus Dashboardに存在する緊急(critical)深刻度の脆弱性数十件に対するパッチを発表しました。

ISEのセキュリティアップデートでは、12件の緊急深刻度の脆弱性を含む合計20件のCVEに対するパッチが目立ちます。Ciscoの警告によれば、このうち3件はすでに一般に公開されているとのことです。

CVE-2026-20282、CVE-2026-20283、CVE-2026-20284として追跡されているこれらの脆弱性は、リモートの攻撃者によってSQLインジェクション、データ改ざん、任意コマンド実行に悪用される可能性があります。3件すべてにおいて、管理者アクセス権限が悪用の前提条件となります。

CVE-2026-20282とCVE-2026-20283は深刻度が「中(medium)」に分類されていますが、Ciscoはこれらを高リスクとみなしています。攻撃者に付与される権限レベルが、容易にroot権限の取得につながりかねないためです。

CVE-2026-20284は、ユーザー入力の検証が不十分であることに起因する緊急深刻度の脆弱性で、攻撃者がデータの閲覧・改ざんを行ったり、サービス拒否(DoS)状態を引き起こしたりすることを可能にします。

「Cisco PSIRTは、本アドバイザリで説明されている脆弱性について、一般への公表が行われていることを把握しています」と同社は述べています。

Ciscoのアドバイザリでは、ほかにも6件の緊急深刻度のISE脆弱性が詳述されています。内訳は、リモートコード実行(RCE)の脆弱性3件、root権限でのコマンド実行につながるコマンドインジェクションの脆弱性2件、そしてREST APIにおける認証バイパス1件です。

さらに、インジェクション、XSS、バイパス、情報漏洩、パストラバーサルなど関連する攻撃に関わる複数の緊急深刻度の脆弱性が、5件のCVEにまとめて追跡される形でISEにおいても修正されています。

CiscoのFMCアップデートでは18件のCVEが解消されました。このうち8件は緊急深刻度の脆弱性で、リモートの攻撃者がroot権限で任意のコマンドを実行したり、root権限を取得したり、各種保護機能や認証をバイパスしたりするなど、さまざまな種類の攻撃を可能にするものです。

これら緊急深刻度のCVEのうち4件は、根本原因となる脆弱性クラスに基づいてグループ化された複数の脆弱性に対応するもので、Secure Firewall Adaptive Security Appliance(ASA)およびSecure Firewall Threat Defense(FTD)にも影響します。

この中でも特に注目されるのがCVE-2026-20332です。同一クラスに属する2件の脆弱性、すなわちそれぞれ3月と7月に開示されたCVE-2026-20079とCVE-2026-20316が、実際の攻撃で悪用されており、8月以降悪用が続いています。

また、Ciscoは、Nexus Dashboardにおける認証、コード/コマンドインジェクション、平文でのデータ保存、SQLインジェクション、パストラバーサルに関わる複数の脆弱性をカバーする、緊急および高deg度の脆弱性6件に対するパッチもリリースしました。

水曜日には、Ciscoは、ISEにおける緊急深刻度の認証バイパスの脆弱性についても警告しています。これはゼロデイとして実際の攻撃で悪用されていることが確認されています。

詳細情報は、同社のセキュリティアドバイザリページ、および9月16日付の通知で確認できます。