CiscoがWebexおよびISEの重大な脆弱性にパッチを適用

Ciscoは水曜日に、WebexおよびIdentity Services Engine（ISE）の重大度が高い欠陥を含む15個の脆弱性に対するパッチを発表しました。

CVE-2026-20184として追跡されるこの重大なWebexのバグは、Control Hubとのシングルサインオン（SSO）統合に影響を与え、リモートで認証されていない攻撃者が任意のユーザーになりすましてアクセスすることを許可する可能性があるとCiscoは述べています。

不適切な証明書検証により、攻撃者はサービスエンドポイントに接続し、作成されたトークンを提供して、認可なしに正当なWebexサービスにアクセスすることができた可能性があります。

クラウドベースのWebexサービスでこの問題に対処している一方で、SSOを使用するお客様は「新しいアイデンティティプロバイダー（IdP）SAML証明書をControl Hubにアップロードする必要があります」とCiscoは説明しています。

水曜日に、同社はISEの3つの重大なセキュリティ欠陥を修正しました。そのうち2つ（CVE-2026-20180およびCVE-2026-20186）は、読み取り専用管理者権限を持つリモート認証済み攻撃者がベースとなるOS上で任意のコマンドを実行することを許可する可能性があります。

この2つの脆弱性は、ユーザーが提供する入力が不十分に検証されているため存在し、攻撃者が作成されたHTTPリクエストを介してベースとなるOSへのユーザーレベルのアクセスを取得してから、特権をrootに昇格させることができます。

シングルノードのCisco ISEデプロイメントでは、バグを悪用してサービス拒否（DoS）条件を引き起こし、認証されていないエンドポイントがネットワークにアクセスするのを防ぐことができます。

3番目の重大なISEの欠陥であるCVE-2026-20147は、管理者特権を持つリモート認証済み攻撃者がベースとなるOS上で任意のコマンドを実行することを許可し、他の2つの問題と同じ方法で悪用される可能性があります。

Ciscoが水曜日にパッチを適用した残り11個のセキュリティ欠陥は、パストトラバーサル攻撃、XSS攻撃、認証ポリシー回避、ファイルリーク、ファイル上書き、およびコマンドインジェクション攻撃をもたらす中程度の重大度の脆弱性です。

Ciscoは、これらの脆弱性のいずれもが野生で悪用されていることを認識していないと述べています。追加情報は、同社のセキュリティアドバイザリーページで見つけることができます。