Cisco ISE／ISE-PIC の脆弱性 CVE-2026-20147 が FIX：認証済みフル RCE の恐れ

Critical Cisco ISE Flaws Let Remote Attackers Execute Malicious Code

2026/04/18 gbhackers — Cisco が公開したのは、Identity Services Engine (ISE) および ISE Passive Identity Connector (ISE-PIC) に影響を及ぼす、新たな 2 件の脆弱性に対する緊急セキュリティ・アドバイザリである。2 つの脆弱性のうちで最も深刻なものは、認証済みのリモート攻撃者に対して完全なリモートコード実行 (RCE) を許し、影響を受けるインフラの完全な侵害を引き起こす。

2026年04月15日 に公開された Cisco の公式アドバイザリによると、この脆弱性は 　ISE の Web ベース管理インターフェイスに存在する。悪用に際しては、有効な管理者認証情報が必要であるが、その影響は壊滅的であり、深刻度は Critical と評価される。

技術的な詳細と脆弱性の内訳

今回のセキュリティ・ブリテンに示される 2 つの脆弱性は完全に個別のものであり、攻撃者にとって、それらを連鎖させる必要はない。

• CVE-2026-20147 (CVSS 9.9：Critical)：このリモートコード実行の脆弱性は、ユーザー入力検証の不備に起因する。この脆弱性を悪用する攻撃者は、細工された HTTP リクエストを対象デバイスへ送信し、基盤 OS に対するユーザー・レベル・アクセスを取得し、その後に root 権限へと容易に昇格していく。さらに、単一ノードの ISE 環境では、このエクスプロイトにより完全な denial-of-service (DoS) 状態が発生する。

• CVE-2026-20148 (CVSS 4.9：Medium)：このパストラバーサルの脆弱性は、入力検証の不備に起因する。この脆弱性を悪用する認証済みの攻撃者は、特定の HTTP リクエストを送信してディレクトリ制限を回避し、OS 上に保存された任意の機密ファイルを読み取り可能となる。

緩和策とパッチ提供の状況

現時点において Cisco が認めているのは、エクスプロイト防止のための回避策や暫定的な緩和策は存在しないことだ。ユーザー組織にとって必要なことは、公式ソフトウェア・アップデートを直ちに適用して、ネットワーク環境を保護することだ。

管理者に対しては、以下の公式パッチ指針に従いシステム更新を実施することが強く推奨される。

• バージョン 3.1 は 3.1 Patch 11 へ更新
• バージョン 3.2 は 3.2 Patch 10 へ更新
• バージョン 3.3 は 3.3 Patch 11 へ更新
• バージョン 3.4 は 3.4 Patch 6 へ更新
• バージョン 3.5 は 3.5 Patch 3 へ更新

3.1 未満の旧バージョンについては、サポート対象の修正版へと即時アップグレードする必要がある。情報の公開時点で Cisco PSIRT は、PoC の存在や実際の悪用は確認されていないと述べている。

しかし、脆弱性 CVE-2026-20147 (CVSS 9.9) は Critical と評価されている。したがってセキュリティ・チームは、攻撃者がパッチをリバース・エンジニアリングする前に、この修正を優先的に適用する必要がある。

これらの深刻な脆弱性は、TrendAI Research のセキュリティ研究者 Jonathan Lein により発見され、Cisco へ報告された。

訳者後書：今回の緊急アドバイザリの内容は、ネットワークの認証管理を担う Cisco ISE の管理画面において、ユーザーが入力したデータに対する検証の不備の修正です。最も深刻な CVE-2026-20147 (CVSS 9.9) は、悪意のリクエストに対するブロックの不備により、攻撃者に対してサーバの基盤となる OS の操作を許すものです。たとえ操作に管理者権限が必要であっても、一度侵入を許せば最高権限である root 奪取やシステム停止にまで発展する恐れがあるため、その影響は壊滅的です。また、CVE-2026-20148 では、本来アクセスできないはずのディレクトリへの不正アクセスが生じます。ご利用のチームは、ご注意ください。よろしければ、Cisco ISE での検索結果も、ご参照ください。