はじめに
2026年8月5日（現地時間）、Cisco Systems は 12件のセキュリティアドバイザリを一斉公開しました。これらを通じて計 23件の CVE が明らかになっており、なかでも「Cisco Catalyst SD-WAN Software」と「Cisco IOS XE Software」に関する2件のアドバイザリは最高重要度「Critical（クリティカル）」に分類されています。CVSS v3.1 ベーススコアが最大 9.9 に達する脆弱性も含まれており、情シス担当者は自社環境での影響有無を早急に確認し、対象バージョンを使用している場合は速やかなアップデートが必要です。
1. 何が起きたか
Cisco は 2026年8月5日 16:00 GMT に 12件のセキュリティアドバイザリを公開しました。同社は 2026年7月29日に事前通知（Advance Notification）を出しており、情報公開は計画的に行われました。
今回公開されたアドバイザリと CVE の内訳は以下のとおりです。
| アドバイザリ | CVE 数 | 重要度 | 最大 CVSS |
|---|---|---|---|
| Cisco Catalyst SD-WAN Software Security Hardening Release: August 2026 | 5 | Critical | 9.9 |
| Cisco IOS XE Software Security Hardening Release: August 2026 | 7 | Critical | 9.8 |
| Cisco Integrated Management Controller Argument Injection Vulnerabilities | 2 | High | 8.8 |
| Cisco IOS Software and IOS XE Software Extensible Messaging Client Protocol DoS Vulnerability | 1 | High | 8.6 |
| Cisco IOS XE Software Blocks Extensible Exchange Protocol DoS Vulnerability | 1 | High | 8.6 |
| Cisco IOS XE Software SNMP DoS Vulnerability | 1 | High | 7.7 |
| Cisco Catalyst SD-WAN Manager Information Disclosure Vulnerability | 1 | Medium | 6.5 |
| Cisco IOS XE Software Web-Based Management Interface DoS Vulnerability | 1 | Medium | 6.3 |
| Cisco RoomOS Logging Subsystem Information Disclosure Vulnerability | 1 | Medium | 5.7 |
| Cisco Terminal Services Agent Firewall Rules Bypass Vulnerability | 1 | Medium | 5.0 |
| Cisco Integrated Management Controller Cross-Site Scripting Vulnerability | 1 | Medium | 4.8 |
| Cisco IOS XE Software Web-Based Management Interface DoS Vulnerability | 1 | Medium | 4.3 |
合計: 12件のアドバイザリ・23件の CVE
Cisco は今回の脆弱性がすべて社内のセキュリティテストおよびフロンティア AI モデルを用いた内部テストで発見されたものであり、現時点では悪用は確認されていないと発表しています。
2. 主要な脆弱性の詳細
2-1. Cisco Catalyst SD-WAN Software（Critical / CVSS 9.9）
アドバイザリ ID: cisco-sa-hardening-sdwan-faLcR3K
| CVE ID | CVSS | CWE | 脆弱性の種類 |
|---|---|---|---|
| CVE-2026-20303 | 9.9 | CWE-20 | 入力検証不備（パストラバーサル・外部パス制御を含む） |
| CVE-2026-20304 | 9.9 | CWE-284 | アクセス制御不備（認可・認証・権限昇格・バイパスを含む） |
| CVE-2026-20310 | 9.9 | CWE-59 | ファイルアクセス前のリンク解決不備 |
| CVE-2026-20312 | 8.8 | CWE-312 | 機密情報の平文保存 |
| CVE-2026-20313 | 7.7 | CWE-1284 | 入力値の数量検証不備 |
CVE-2026-20303・CVE-2026-20304・CVE-2026-20310 はいずれも CVSS 9.9
と極めて深刻です。CVSS ベクター
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
が示すとおり、低い権限さえあればリモートから悪用可能で、機密情報の取得・改ざん・可用性侵害のすべてに影響します。
2-2. Cisco IOS XE Software（Critical / CVSS 9.8）
アドバイザリ ID: cisco-sa-hardening-iosxe-V8NMuMZJ
| CVE ID | CVSS | CWE | 脆弱性の種類 |
|---|---|---|---|
| CVE-2026-20272 | 9.8 | CWE-74 | 特殊要素の無害化不備（コマンド・OS・引数インジェクション） |
| CVE-2026-20267 | 9.0 | CWE-284 | アクセス制御不備 |
| CVE-2026-20268 | 8.6 | CWE-119 | メモリバッファの範囲外操作（バッファオーバーフロー等） |
| CVE-2026-20269 | 8.6 | CWE-664 | リソースのライフタイム制御不備（Null ポインタ参照等） |
| CVE-2026-20270 | 8.6 | CWE-682 | 算術・数値変換エラー（整数オーバーフロー等） |
| CVE-2026-20271 | 8.6 | CWE-691 | 制御フロー管理不備（無限ループ・レースコンディション等） |
| CVE-2026-20273 | 8.6 | CWE-20 | 入力検証不備 |
CVE-2026-20272 は CVSS
9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）と最も深刻で、認証不要でリモートから悪用できるコマンド・引数インジェクション脆弱性です。悪用に成功すると、機密情報の取得・改ざん・サービス妨害（DoS）のすべてが可能になります。
3. 影響を受ける製品・バージョン
Cisco Catalyst SD-WAN Software
以下のすべてのデプロイタイプが対象です：
- オンプレミス（On-Prem Deployment）
- Cisco SD-WAN Cloud-Pro
- Cisco SD-WAN Cloud（Cisco Managed）
- Cisco SD-WAN for Government（FedRAMP）
修正済みバージョン（アップデート先）：
| 現行バージョン | 修正バージョン |
|---|---|
| 20.9.x | 20.9.10 |
| 20.10 / 20.11 | 20.12.8.1 |
| 20.12 | 20.12.8.1 |
| 20.13 / 20.14 | 20.15.6 |
| 20.15 | 20.15.6 |
| 20.16 | 20.18.4 |
| 20.18 | 20.18.4 |
| 26.1 | 26.1.2 |
| 20.9 未満 | 修正済みバージョンへ移行 |
※ 20.10・20.11・20.13・20.14・20.16 はソフトウェアメンテナンス終了（End of Software Maintenance）に達しています。Cisco はサポート対象バージョンへのアップグレードを強く推奨しています。
Cisco IOS XE Software
評価対象バージョン：17.9、17.12、17.15、17.18、26.1（自律モード・コントローラーモードとも対象）
注意： Cisco Catalyst 3650 および 3850 シリーズスイッチは今回の評価対象外です。これらのシリーズへの影響が確認された場合は将来のリリースで修正される予定です。
修正済みバージョン（アップデート先）：
| 現行バージョン | 修正バージョン |
|---|---|
| 17.9.x | 17.9.10 |
| 17.12.x | 17.12.8 |
| 17.15.x | 17.15.6 |
| 17.18.x | 17.18.4 または 17.18.4a |
| 26.1 | 26.1.2 |
4. 推奨対応
情シス担当者として今すぐ実施すべき対応を以下にまとめます。
① 影響機器の確認
社内ネットワークで以下の機器・ソフトウェアを使用しているか確認してください：
- Cisco Catalyst SD-WAN Software（vEdge・cEdge ルーター、vManage、vSmart、vBond 等）
- Cisco IOS XE Software（Catalyst スイッチ、ISR/ASR ルーター、Catalyst 9000 シリーズ等）
② 現行バージョンの確認
各デバイスで以下の方法で現行バージョンを確認してください：
- IOS XE:
show versionコマンドを実行 - SD-WAN: vManage 管理画面 > Administration > Software Repository で確認
③ アップデートの計画・実施
上記「修正済みバージョン」への速やかなアップグレードを実施してください。ソフトウェアは Cisco Software Downloads（要 Cisco アカウント）または Cisco TAC 経由で入手できます。
④ アップデート前の確認事項
- アップグレード先バージョンが現在のハードウェアでサポートされているか確認する
- 十分なメモリ容量があるか確認する
- 変更管理プロセス（メンテナンスウィンドウ）に従い計画的に実施する
- 本番環境への適用前に、テスト環境での動作確認を推奨
⑤ ワークアラウンドについて
Cisco は今回の脆弱性に対するワークアラウンド（回避策）は存在しないと明記しています。ソフトウェアアップデートが唯一の対処方法です。
5. まとめ
Cisco は 2026年8月5日に 12件のセキュリティアドバイザリを公開し、Catalyst SD-WAN と IOS XE に CVSS 9.9 を含む深刻な脆弱性が明らかになりました。これらはリモートから悪用可能なものが多く、機密情報の漏えいや権限昇格、DoS（サービス妨害）につながるおそれがあります。現時点では悪用は確認されていませんが、今後の脅威増大に備えて早急な対応が求められます。
自社で Cisco Catalyst SD-WAN や IOS XE を利用している場合は、直ちに影響バージョンを確認し、修正済みバージョンへのアップデート計画を立てることを強くお勧めします。
今回の Cisco 脆弱性は CVSS 9.9 という最高レベルの深刻度で、ワークアラウンドが存在しないためソフトウェアアップデートが唯一の対策です。YJK では、社内の Cisco 機器の影響バージョン調査から、アップデート計画の策定・実施支援まで一貫してサポートします。「どのバージョンを使っているか確認できていない」「メンテナンスウィンドウの調整が難しい」といったお悩みもお気軽にご相談ください。