シスコは2026年10月7日、Cisco License On-Prem（旧称Smart Software Manager On-Prem、SSM On-Prem）に影響する8件の脆弱性グループおよび欠陥に対するセキュリティアップデートを公開しました。最も深刻な「CVE-2026-76482」は、CVSSスコアが最高値の10.0で、暗号署名の不適切な検証に関するものです。
この欠陥はネットワーク経由で悪用可能で、認証もユーザー操作も必要としません。ほかの脆弱性を突かれると、攻撃者に認証を回避されたり、機密情報にアクセスされたり、コマンドを実行されたり、ライセンス管理アプリケーションを妨害されたりするおそれがあります。
シスコはこれらの脆弱性について2件のセキュリティアドバイザリを公開しており、修正済みリリースの要件はそれぞれ異なります。管理者はアップグレードの前に、導入済みのバージョンを両方のアドバイザリと照らし合わせて確認する必要があります。
公開されたCisco License On-Premの8件の脆弱性
シスコの10月のセキュリティ強化アドバイザリは、社内のセキュリティテストで発見した4つの脆弱性クラスを取り上げています。
各クラスにはCVE識別子が1つ割り当てられており、CVSSスコアはそのカテゴリで最も深刻な問題を反映しています。
- CVE-2026-76482（CVSS 10.0）：暗号署名の不適切な検証
- CVE-2026-76480（CVSS 9.8）：重要な機能に対する認証の欠如
- CVE-2026-76483（CVSS 9.1）：認証情報の保護不足
- CVE-2026-76484（CVSS 8.8）：コード生成の不適切な制御（コードインジェクションにつながる可能性）
シスコによると、同社のエンジニアは、従来の社内セキュリティテストに加え、最先端のAIモデルを併用してこれらの問題を発見しました。
同社は、開示と修正を効率化するため、関連する問題を脆弱性クラスごとにまとめています。そのため、スコアが各グループ内のすべての個別の弱点に当てはまるとは限りません。
同じく10月7日に公開された2件目のアドバイザリでは、同製品のWeb管理インターフェースとAPIに影響する、さらに4件の脆弱性を詳述しています。
- CVE-2026-20328：任意のアカウントのパスワードをリセットでき、不正アクセスにつながる可能性がある脆弱性
- CVE-2026-76454：認証不要のAPIの脆弱性。任意のファイル書き込みやサービス拒否（DoS）を引き起こす可能性がある
- CVE-2026-76437：認証済みの攻撃者がOSコマンドを実行できる可能性があるコマンドインジェクションの欠陥
- CVE-2026-76452：認証済みの攻撃者が悪意あるデータベースクエリを実行できる可能性があるSQLインジェクションの脆弱性
シスコは、CVE-2026-20328、CVE-2026-76437、CVE-2026-76452を報告したのはNATOサイバーセキュリティセンターのGabriele Paris氏、CVE-2026-76454を報告したのはCyStackのTrung Nguyen氏だとしています。
どちらのアドバイザリも、悪意ある悪用は確認されていないとしています。また、シスコは、これらの脆弱性に対する回避策はないとしています。
影響を受けるCiscoのリリース
両アドバイザリとも、ソフトウェアの構成にかかわらずCisco License On-Premが対象です。旧名称のSmart Software Manager On-Premを使用している古い環境も影響を受けます。
セキュリティ強化アドバイザリが示す対処要件は次のとおりです。
- 10系のリリース10-202608以前：10-202609以降の修正済みリリースにアップグレードする
- リリース9-202601以前：修正済みリリースへ移行する
- リリース10-202609：セキュリティ強化に関する問題の影響を受けない
Web／APIに関するアドバイザリでは、修正済みリリースの一覧が異なります。影響を受ける10系の旧バージョンについては10-202608を最初の修正済みリリースとし、古い9系の環境には移行を求めています。
リリース10-202609は、セキュリティ強化アドバイザリの問題に対処しており、もう一方のアドバイザリでも影響を受けないバージョンとして記載されています。このため、現行の10系リリースへ移行する管理者にとっては、これが該当する修正済みバージョンとなります。ただし、アップグレード手順はシスコのリリースノートに従う必要があります。
シスコは、別製品のCisco Smart Licensing Utilityは、セキュリティ強化に関する脆弱性の影響を受けないと確認しています。2件目のアドバイザリに記載されている、名称が似たSmart Licensing Utility APIは、影響を受けるLicense On-Premアプリケーションの一部です。単体のユーティリティが脆弱であることを示すものではありません。
管理者は、影響の有無を判断する前に、使用している製品と導入済みのリリースを正確に特定する必要があります。
管理者が取るべき対応
シスコは、修正済みソフトウェアへのアップグレードまたは移行を推奨しています。古いSSM On-Premを使用している組織では、通常のアップデートではなく、移行手順に従う必要がある場合があります。
セキュリティ部門とIT部門は、次の対応を取る必要があります。
- 導入状況の棚卸し：Cisco License On-Premと従来のSSM On-Premのインスタンスを洗い出し、正確なソフトウェアリリースを把握する
- 該当する修正の確認：両方のシスコのアドバイザリを確認し、各環境のアップグレードまたは移行の手順を確定する
- 修正作業の計画：適切な修正済みソフトウェアを入手し、シスコが公開しているアップグレード手順に従う
- 結果の検証：変更後にインストール済みのバージョンを確認し、アプリケーションの管理インターフェースへのアクセスを見直す
シスコは4月にも、SSM On-Premの以前のコマンド実行の脆弱性「CVE-2026-20160」を修正しています。この欠陥はCVSSスコアが9.8で、認証されていない攻撃者がroot権限でOSコマンドを実行できるおそれがありました。
複数のインフラの脆弱性に対応する組織では、脆弱性管理ツールが影響を受けるシステムの棚卸しに役立ちます。パッチ管理のプロセスも、修正状況の追跡に有効です。
Cisco License On-Premを導入している環境の最優先事項は、インストール済みのバージョンを確認し、該当する修正済みリリースのガイダンスに従うことです。シスコはアップデートを公開しましたが、10月のどちらのアドバイザリにも、脆弱なソフトウェアのまま運用を続ける組織向けの回避策は示されていません。
関連記事：Dellは最近、管理者の認証情報を露出させ、企業のストレージシステムを侵害されるおそれがある、最高深刻度のストレージの脆弱性を2件公開しました。
