Ciscoは、同社のExpresswayシリーズに存在する重大な脆弱性に対処するセキュリティアップデートを公開しました。「CVE-2026-76466」として追跡されているこの脆弱性を悪用されると、認証されていないリモートの攻撃者が、root権限で任意のOSコマンドを実行できるおそれがあります。
CVSS v3.1のベーススコアは9.8で、クラスタ構成にしている脆弱なExpresswayが影響を受けます。アドバイザリは2026年10月21日に公開されました。
この脆弱性はプラットフォームのデータベースサービス機能に存在し、永続的なCookieの扱いと、クライアント証明書の検証不備が関係しています。
攻撃を成立させるには、攻撃者が影響を受けるデバイスにネットワーク経由でアクセスでき、なおかつ該当するCookieを入手している必要があります。これらの前提条件は、自組織が受ける影響を評価するうえで重要です。
Cisco Expresswayの脆弱性
Ciscoによると、これらのCookieを入手した攻撃者は、データベースサービスに接続し、特定のリモートプロシージャコール（RPC）コマンドを実行できる可能性があります。
その結果、基盤となるOS上でroot権限による任意のコマンド実行が可能になり、攻撃者が影響を受けるデバイスの最高権限を掌握するおそれがあります。
アドバイザリでは、クラスタリングのセキュリティ設定にも不備があると指摘しています。TLS Verify Modeを「Enabled」に設定していても、クライアント証明書が検証されません。
このため、該当機能ではこの設定を有効にしても、期待される証明書検証は行われません。Ciscoは、この脆弱性の原因を永続的なCookieに関する問題とし、CWE-798に分類しています。
Ciscoは攻撃を「認証不要」と説明していますが、悪用を成功させるにはやはりCookieの入手が必要です。アドバイザリには、攻撃者がこれらのCookieをどのように入手するのかは記載されていません。公開された攻撃経路の中で、特定のCookie入手手法も示されていません。
この脆弱性は、Cisco Expressway Core（Expressway-C）とCisco Expressway Edge（Expressway-E）の両方に影響します。脆弱なソフトウェアを実行し、クラスタ構成にしている場合は、仮想環境でも物理アプライアンスでも影響を受けます。
アドバイザリは、すべてのExpressway環境が脆弱だとはしていません。影響範囲はこれらの導入条件によって決まります。
Ciscoはこの問題を社内でCSCww27732として管理しており、脆弱性を報告したJane StreetのStefan Aleksic氏に謝意を示しています。
公開時点で、CiscoのProduct Security Incident Response Team（PSIRT）は、この脆弱性に関する公的な発表や悪意ある悪用を把握していないと説明しています。ただし、これはCiscoが把握していないという意味であり、悪用が一度もなかったことの証明ではありません。
Ciscoは、X15.5.3以前のバージョンに対する最初の修正版としてX15.5.20を挙げています。X14以前のバージョンを使用している場合は、修正版への移行が必要です。
Ciscoは、この脆弱性に対する回避策は存在しないとして、影響を受けるシステムのアップグレードを強く推奨しています。今回の修正は、2026年10月に公開されたCiscoのExpresswayセキュリティ強化リリースの一部です。
アップグレードの前に、デバイスのメモリが十分にあること、既存のハードウェアとソフトウェアの構成が引き続きサポート対象であることを確認してください。アップグレードの互換性に不安がある場合は、CiscoのTechnical Assistance Center、または保守サービスの提供事業者に問い合わせるよう、Ciscoは呼びかけています。
MTTRを21分短縮し、サイバー脅威を被害が出る前に阻止。ANYRUNのSandboxをSOCに統合。
翻訳元: https://gbhackers.com/critical-cisco-expressway-flaw-2/
