Cisco Expresswayに存在するハードコードされた認証情報の欠陥「CVE-2026-76466」について、概念実証（PoC）エクスプロイトが公開されました。この脆弱性を悪用すると、認証なしの攻撃者がroot権限でOSコマンドを実行できます。
Ciscoは2026年10月21日にセキュリティアドバイザリを公開しており、CVSSスコアは9.8です。研究者のNicolas Krassas氏（dinosn）は、エクスプロイトと、環境内の対象機器を調べる検出ツールをGitHubに投稿しました。攻撃者にはすぐに使えるツールが渡り、防御側には早急にパッチを適用すべき理由ができた形です。
この脆弱性はCWE-798（ハードコードされた認証情報の使用）に分類されます。問題があるのは、クラスタ構成のExpresswayに含まれるクラスタマネージャモジュール、具体的には「cm_server」です。
CiscoのExpresswayに関する当初のアドバイザリの報道によると、クラスタ構成にしている場合は、仮想か物理かを問わず、Expressway-CとExpressway-Eの両方が影響を受けます。
分析の結果、cm_serverは、保守用ノードのIDとしてハードコードされた「wombat@」を、許可ノードの集合に追加していることが分かりました。このIDには、旧来のTANDBERGというプレフィックスが使われています。
攻撃の流れは短く、攻撃者はまずポート4372へTLS 1.3で接続します。続いて「[email protected]」を名乗り、Erlangのハンドシェイクを実行します。
エクスプロイトのスクリプトには、probe、ping、uidの各モードがあります。このうちpingモードは認証を行うだけで、コマンドは実行しません。
Ciscoのエッジ製品やインフラ製品では、ハードコードされた秘密情報が深刻な被害につながった例が過去にもあります。CiscoのNGOAMの脆弱性では、NX-OSでもroot権限を取得されるおそれがあり、深刻度は同じ9.8です。ただし原因は埋め込まれた認証情報ではなく、スタックベースのバッファオーバーフローです。
Nicolas Krassas氏は、TLS Permissiveモードの2ノードクラスタ上にあるExpressway-C X15.3.2で、このエクスプロイトの動作を確認しました。TLS Enforcingモード、Expressway-E、X14系リリース、修正版のX15.5.20ビルドについては、検証していません。
CiscoのPSIRTは、アドバイザリ公開時点で悪意ある悪用は把握していないとしています。しかし、PoCが公開されたことで状況が変わる可能性があります。ネットワークの境界に置かれる音声・ビデオゲートウェイは、攻撃者にとって価値の高い足がかりです。
今年はすでにCisco製アプライアンスが攻撃に使われた例もあります。攻撃者がSecure Email Gatewayの脆弱性を悪用し、root権限でコマンドを実行しました。今回の脆弱性について、Ciscoは回避策がないとしています。
X15.5.3以前のシステムはX15.5.20へアップグレードする必要があります。X14以前は、修正済みのリリースへ移行しなければなりません。パッチ適用が完了するまでの間、管理者はTCPポート4371と4372へのアクセスを、許可したクラスタピアのみに制限してください。それ以外のアドレスからの接続については、アラートを出すようにしてください。
優先順位付け（トリアージ）では、防御側はまずクラスタ構成のノードを洗い出し、リリース番号を確認します。次に、ピア以外のネットワークからポートへ到達できるかを確かめ、各ノードに対してpingによる確認を実行してください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/critical-cisco-expressway-flaw-poc-released/
