シスコ、複数製品の34件の脆弱性にパッチを公開

シスコは水曜日、Expressway Series、IOS XR、Snort 3、Unified Communications製品に影響する34件の脆弱性に対するパッチを発表しました。

Expresswayシリーズでは10件の脆弱性が修正されました。このうちの1件は、深刻度が「クリティカル」のリモートコード実行（RCE）の脆弱性で、CVE-2026-76466として追跡されています。

シスコによると、特定の構成で永続Cookieが使用されていることに加え、クライアント証明書の検証が不十分であることが原因です。攻撃者はこれを悪用してデータベースサービスに接続し、特定のリモートプロシージャコール（RPC）コマンドを呼び出せる可能性があります。

シスコは「悪用に成功すると、攻撃者は影響を受けるデバイスの基盤OS上で、root権限により任意のコマンドを実行できる可能性があります」と説明しています。

この脆弱性はExpressway Series バージョンX15.5.20で修正されました。同バージョンでは、複数の脆弱性を各CWEカテゴリーごとにまとめた8件のCVEも解決しています。さらに、深刻度「中」の情報漏えいの脆弱性も修正されました。

Unified Communications製品では、9件のCVEにパッチが提供されました。対象は、Emergency Responder、Prime Collaboration Deployment、Unified Communications Manager（CM）、Unified Communications Manager IM & Presence Service（CM IM&P）、Unified Communications Manager Session Management Edition（CM SME）、Unity Connectionです。

中でも深刻なのは、CVE-2026-76473、CVE-2026-76474、CVE-2026-76475の3件です。いずれも深刻度は「クリティカル」で、不適切なリソース制御、不適切な認証、不適切な入力の無害化に関する複数の欠陥をそれぞれまとめています。

Snort 3に影響する13件のCVEについても、複数のシスコ製品向けにパッチが提供されました。このなかにはCVE-2026-20236とCVE-2026-20043が含まれ、深刻度「クリティカル」の不正確な計算と境界外書き込みの問題をまとめています。

今回の修正では、深刻度「高」の権限管理、リソース消費、任意のコマンド実行の脆弱性や、深刻度「中」の問題も解決されました。修正はSnort 3バージョン3.12.4.0に加え、Cyber Vision、CDFW、Meraki MX、CSA、Secure Firewall ASA、Secure FMC、Secure FTD、IOS XE向けUTDのセキュリティアップデートにも盛り込まれています。

このほかシスコは、IOS XRにおける深刻度「高」のサービス拒否（DoS）の脆弱性（CVE-2026-76505）と、Secure ClientのSecure Firewall Postureモジュールにおける深刻度「高」の権限昇格の脆弱性（CVE-2026-76462）にもパッチを適用しました。 

シスコは、これらの脆弱性が実環境で悪用された事例は把握していないとしています。詳細は、同社のセキュリティアドバイザリページと、10月21日付の通知で確認できます。