Cisco は、Meraki のゲートウェイ、スイッチ、無線アクセスポイント、カメラに影響を及ぼす7件のセキュリティ脆弱性を公表しました。このなかには、CVSS 深刻度スケールで9.6と評価された重大な欠陥も含まれています。複数の製品では修正版がすでに提供されていますが、一部のファームウェア更新は10月後半から11月までずれ込む見通しです。
これらの脆弱性は、デバイスの構成にかかわらず、Meraki の6つの製品ファミリーに影響します。Cisco によると回避策はなく、管理者は製品とソフトウェアリリースごとに提供される修正版ファームウェアに頼るほかありません。
このセキュリティアドバイザリは2026年10月7日に公開され、翌日には MX セキュリティアプライアンス向けの修正リリースが追加されて更新されました。Cisco は、これらの脆弱性が悪意ある形で悪用された事例は確認していないとしています。
Cisco Meraki の7件の脆弱性、スコアは最大9.6
Cisco のセキュリティアドバイザリによると、最も深刻な問題である CVE-2026-76464 は CWE-119 に分類されます。CWE-119 は、バッファオーバーフローや境界外書き込みなど、メモリバッファに関するエラーを包括するカテゴリです。
この脆弱性の CVSS スコアは9.6で、攻撃元区分は隣接ネットワークです。Cisco が公表した深刻度ベクターによれば、悪用に認証やユーザー操作は不要です。
残る6つの脆弱性グループは、アクセス制御、入力検証、リソース管理、計算処理、制御フロー、インジェクションにまつわる問題です。
Cisco が挙げている CVE は次のとおりです。
- CVE-2026-76464（CVSS 9.6）：メモリバッファ操作に対する不適切な制限
- CVE-2026-76463（CVSS 8.8）：不適切なアクセス制御
- CVE-2026-76467（CVSS 7.5）：ライフタイム全体を通じたリソースの不適切な管理
- CVE-2026-76468（CVSS 8.2）：不適切な入力検証
- CVE-2026-76469（CVSS 7.4）：制御フロー管理の不備
- CVE-2026-76470（CVSS 8.8）：不正確な計算
- CVE-2026-76472（CVSS 8.8）：インジェクションの脆弱性を含む、特殊要素の不適切な処理
Cisco は、関連する問題を共通脆弱性タイプ一覧（CWE）のカテゴリに基づいて、個別の CVE 識別子にまとめています。公表されている各深刻度スコアは、同じ影響を持つすべての弱点を表すものではなく、そのグループ内で最も深刻な脆弱性を反映しています。
同社のエンジニアリングチームは、既存のテストプロセスや最先端 AI モデルを活用した社内のセキュリティテストを通じて、これらの問題を特定しました。
Cisco の製品セキュリティインシデント対応チーム（PSIRT）は、アドバイザリの公開時点で、これらの脆弱性に関する公の発表や悪意ある利用は把握していなかったと述べています。
更新が必要な Cisco Meraki 製品は？
このアドバイザリの対象は、次の6つの Meraki 製品ファミリーです。
- Meraki Campus Gateways
- Meraki MG セルラーゲートウェイ
- Meraki MR 無線アクセスポイント
- Meraki MS スイッチ
- Meraki MV スマートカメラ
- Meraki MX セキュリティ／SD-WAN アプライアンス
影響を受けるソフトウェアリリースと修正版は、製品ごとに異なります。管理者は、各デバイスの製品ファミリーとファームウェアトレインを、Cisco の修正リリース一覧と照合する必要があります。
すでに提供されている修正版ファームウェア
Cisco は、影響を受ける複数の製品ファミリーについて、最初の修正リリースを次のように示しています。
- MG セルラーゲートウェイ：26.1トレインはリリース26.1.4
- MR 無線アクセスポイント：各トレインに対応するリリース30.7.3、31.1.8.1、33.1.3
- MS スイッチ：対応する IOS XE トレインに応じて IOS XE 17.15.6、17.18.4.1、26.1.2
- MV スマートカメラ：7シリーズトレインはリリース8.0
- MX セキュリティアプライアンス：対応するトレインに応じてリリース18.107.14、19.2.9、26.1.7、26.2.3
MX のリリース要件には重要な例外があります。Cisco によると、リリース19.2.9は Meraki Z3 デバイスにのみ提供されます。
利用可能な更新オプションに MX のリリース18.107.14や19.2.9が見当たらない場合は、Cisco Meraki テクニカルサポートに問い合わせる必要があります。
未提供のファームウェア修正
10月8日付の Cisco のアドバイザリでは、3つの修正リリースについて、今後の提供予定日が記載されています。
- Campus Gateway 32.2：リリース32.2.5、2026年10月下旬に提供予定
- Campus Gateway 33.1：リリース33.1.4、2026年11月中旬に提供予定
- MS スイッチ 18.1：リリース18.1.9、2026年10月中旬に提供予定
32.2トレインで稼働する MR 無線アクセスポイントも、リリース32.2.5が必要です。Cisco はこのリリースを10月下旬としています。
これらは Cisco が見込む提供時期であり、ファームウェアがすでに出荷されたことを示すものではありません。管理者は、アップグレードを計画する前に、最新のアドバイザリと Meraki Dashboard を確認してください。
製品ファミリー間の違いは、リリース33.1で特に重要です。MR アクセスポイントの最初の修正リリースは33.1.3ですが、Campus Gateways にはそれより新しい33.1.4ビルドが必要です。
別の Meraki 製品ファミリーで同じバージョン番号が提供されていても、それだけで保護されるとは限りません。
修正版の提供を待つ間に管理者がすべきこと
Cisco は、これらの脆弱性に対処できる回避策はないとしています。推奨される対策は、影響を受ける各製品に対して示された修正版ソフトウェアを適用することです。
Meraki を複数の製品ファミリーで混在運用している組織が直ちに取るべき手順は、次のとおりです。
- 影響を受けるデバイスを洗い出す。Campus Gateways、MG ゲートウェイ、MR アクセスポイント、MS スイッチ、MV カメラ、MX アプライアンスをすべて特定し、ファームウェアのバージョンも把握します。
- デバイスと修正リリースを照合する。バージョン番号だけでなく、デバイスのファミリーとファームウェアトレインを基に、Cisco のアドバイザリを確認します。
- 修正版がある製品はアップグレードする。ファームウェアの更新を計画して実施し、その後、インストールされたリリースを確認します。
- 未提供のファームウェアを追跡する。10月と11月に予定されているリリースを監視し、提供が始まった時点でメンテナンスウィンドウを手配します。
- アップグレードのアクセス権限を見直す。権限のある管理者が、Meraki Dashboard からファームウェアのアップグレードを管理できることを確認します。
- リリースノートを確認する。本番環境のデバイスにファームウェアを展開する前に、既知の問題とモデル固有の制約を確認します。
MR アクセスポイントを管理する管理者は、MR 33.1.3のリリースノートにとりわけ注意が必要です。
このリリースには、12件の文書化された修正と4件の既知の問題が含まれています。アップグレードの前に、これらの既知の問題が、使用中のアクセスポイントの機種に影響するかどうかを評価する必要があります。
古いファームウェアを使い続けている組織は、Cisco のMeraki ファームウェアのサポート終了ポリシーも確認する必要があります。古いファームウェアトレインの一部は定期的なメンテナンスを受けられなくなっており、セキュリティ修正の対象かどうかは、思い込みではなく確認によって見極めなければなりません。
修正リリースの管理は、脆弱性管理の重要な要素です。製品ごとに必要な更新が異なる場合は、なおさらです。
より広範なインフラ環境を管理するセキュリティチームにとっては、パッチ管理のプロセスも、未適用の更新を記録し、修復が完了したかどうかを確認するうえで役立ちます。
今回の Cisco の Meraki アドバイザリでは、パッチの提供時期が製品ごとにずれています。修正版がある製品はいますぐ更新できますが、修正版が未公開のファームウェアを使っている組織は、Cisco が公表する提供予定日を注視し、更新の提供開始に合わせてメンテナンスウィンドウを準備する必要があります。
関連記事： Microsoftの9月のセキュリティ更新プログラムでは、攻撃者がすでに悪用していた2件の Windows ゼロデイを含む、数百件の脆弱性に対処しました。
翻訳元: https://www.esecurityplanet.com/vulnerabilities/news-cisco-meraki-security-hardening/
