Critical Cisco Expressway Flaw Lets Attackers Execute Commands as Root
2026/10/22 gbhackers — Cisco が公開したのは、Expressway シリーズに存在する深刻度の高い脆弱性 CVE-2026-76466 に対処するセキュリティ・アップデートである。この脆弱性の CVSS v3.1 基本スコアは 9.8 であり、クラスタ構成で運用される Expressway 環境に影響するほか、未認証のリモート攻撃者が root 権限で任意の OS コマンドを実行できる可能性がある。
2026年10月21日にアドバイザリで公開された、この脆弱性は Expressway のデータベースサービス機能に存在し、永続的な Cookie とクライアント証明書の検証不備に関係している。悪用に際しては、影響を受けるデバイスへのネットワーク経由のアクセスに加え、関連する Cookie の入手が必要になる。
Cisco Expressway の脆弱性
Cisco によると、関連する Cookie を入手した攻撃者は、データベース・サービスに接続して特定のリモート・プロシージャ・コール (RPC) コマンドを実行する可能性がある。それにより攻撃者は、基盤となる OS 上での root 権限による任意のコマンド実行を通じて、影響を受けるデバイスを高権限で制御する恐れがある。
アドバイザリで指摘されているのは、クラスタリング機能において、TLS Verify Mode が “Enabled” に設定されている場合でも、クライアント証明書が検証されない問題である。また、Cisco は、この脆弱性を永続的な Cookie に関する問題として CWE-798 に分類し、認証を必要としないと説明しているが、悪用には関連する Cookie の入手が必要であり、アドバイザリや公開情報では具体的な取得手法は明らかにされていない。
この脆弱性は、Cisco Expressway Core (Expressway-C) と Cisco Expressway Edge (Expressway-E) に存在し、脆弱なソフトウェアを実行してクラスタ構成で運用されている、仮想環境と物理アプライアンスに影響を及ぼす。ただし、すべての Expressway 環境が脆弱なわけではなく、影響範囲はソフトウェアのバージョンと導入構成で決まる。
Cisco は、この問題を CSCww27732 として管理し、脆弱性の報告者として Jane Street の Stefan Aleksic を公表している。また、記事の公開時点で、製品セキュリティ・インシデント対応チーム (PSIRT) は、この脆弱性の悪用を認識していないと説明している。ただし、これは Cisco が把握している情報に基づくものであり、過去に悪用が発生していないことを保証するものではない。
Cisco は、X15.5.3 以前のバージョンに対する修正済みリリースとして、X15.5.20 を挙げている。また、X14 以前のバージョンを使用している顧客には、修正済みリリースへの移行を求めている。回避策は存在しないため、影響を受けるシステムのアップグレードが強く推奨されており、2026年10月に予定されている Expressway の包括的なセキュリティ強化リリースに、この問題に対する修正が含まれるとしている。
アップグレードに際しては、デバイスに十分なメモリが搭載されていること、既存のハードウェアとソフトウェアの組み合わせがサポート対象であることを、確認する必要がある。互換性が不明な場合には、Cisco はテクニカル・アシスタンス・センター (TAC) または保守サービスの提供事業者への問い合わせが推奨される。
この記事は、Cisco Expressway における深刻な脆弱性 CVE-2026-76466 について詳しく解説するものです。クラスタ環境で運用されるシステム内のデータベース・サービスにおける、クライアント証明書の検証不備や永続的な Cookie に起因する、未認証でのアクセスや (root) 権限による任意のコマンド実行のリスクが存在し、デバイス全体の制御権の乗っ取りや甚大なシステム障害が発生するおそれがあります。対応策として、修正済みバージョンへの迅速なアップデートの適用や適切な環境構成の維持が求められます。
You must be logged in to post a comment.