Cisco SD-WANにルート昇格ゼロデイ、CISAが2週間パッチ期限
Cisco Catalyst SD-WAN ManagerのWeb UIにCVE-2026-20262の脆弱性。ファイルアップロードの検証不足でルート権限昇格が可能。すでに限定的な攻撃が確認され、CISAは連邦機関に2週間のパッチ適用を命令した。
シスコは現地時間2026年6月15日、Catalyst SD-WAN Managerに存在する深刻な脆弱性の修正パッチを公開した。この脆弱性CVE-2026-20262は、同月に入ってから確認された2件目のゼロデイ悪用事例であり、攻撃者が低権限アカウントからルート権限へ昇格することを可能にする。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は即座に既知の悪用脆弱性カタログに追加し、連邦政府機関に対し2週間以内のパッチ適用を命じた。
脆弱性の技術的詳細
CVE-2026-20262は、Catalyst SD-WAN ManagerのWeb UIにおけるファイルアップロード処理の入力検証不足に起因する。シスコのセキュリティ勧告によれば、攻撃者は細工したHTTPリクエストを該当APIエンドポイントに送信することで、基盤となるオペレーティングシステム上の任意のファイルを作成または上書きできる。このファイルを悪用することで、最終的にルート権限への昇格が可能となる。
CVSSスコアは6.5（Medium）と評価されている。これは攻撃の前提条件として、攻撃者が少なくとも低権限のシングルタスクユーザーアカウントの有効な認証情報を必要とするためだ。ただし、有効な認証情報の入手が困難ではない現実を考慮すれば、この評価は過小評価されるべきではない。
すでに確認された悪用とCISAの対応
シスコPSIRTは2026年6月中に、本脆弱性の限定的な悪用を確認した。勧告の中で「Ciscoは引き続き、修正済みソフトウェアリリースへのアップグレードを強く推奨する」と述べている。回避策は存在せず、全てのデプロイタイプが影響を受ける。
CISAは6月15日付でCVE-2026-20262を既知の悪用脆弱性カタログに追加した。連邦政府機関に対しては、2週間の期限付きでパッチ適用を義務付ける拘束力のある運用指令（BOD）22-01に基づく対応を求めた。
6月2件目のSD-WANゼロデイ
本脆弱性は、6月4日に報告されたCVE-2026-20245に続く、今月2件目のCatalyst SD-WAN Managerのゼロデイ悪用事例となる。CVE-2026-20245は高深刻度と評価されていたが、報告時点ではパッチが提供されていなかった。シスコは6月12日にようやく全影響バージョン向けの修正をリリースしている。
2026年に入り、CISAの既知の悪用脆弱性カタログに追加されたシスコSD-WAN関連の脆弱性は、今回で8件目となった。この数字は、SD-WAN製品群におけるセキュリティ品質の持続的な課題を示唆している。
影響と対策
全てのデプロイタイプが影響を受け、デバイス設定による回避は不可能だ。唯一の対策は、シスコが提供する修正済みソフトウェアバージョンへのアップグレードである。組織はパッチ適用の優先度を最上位に引き上げ、直ちに適用計画を策定すべきである。
特に、低権限アカウントの認証情報が比較的容易に入手可能な環境では、本脆弱性のリスクはCVSS評価以上に高い。同一管理プレーン上で複数の脆弱性が連続して報告されている状況を踏まえ、セキュリティチームはSD-WANインフラ全体の再評価を検討する必要がある。
編集部の見解
短期的には、本件はネットワーク機器の管理プレーンが攻撃経路として確立されつつある現実を突きつける。特に同一製品で短期間に複数のゼロデイが発生していることは、シスコのSD-WAN製品群におけるコード品質やセキュリティレビューのプロセスに根本的な課題が存在する可能性を示している。組織は直ちにパッチを適用すると同時に、低権限アカウント管理の徹底を図るべきだ。
長期的な視点では、CVSS 6.8という中程度評価と実際のリスクの乖離が問題となる。有効な認証情報さえあればルート権限まで到達可能な脆弱性は、ネットワーク基盤製品としては極めて深刻だ。SD-WANベンダー各社は、管理プレーンの認証・認可機構を抜本的に再設計する時期に来ている。また、CISAカタログへの8件追加という数字は、単なる脆弱性の連鎖ではなく、アーキテクチャレベルでの設計上の弱点を反映している可能性が高い。
編集部からの問いとして、シスコはなぜ同一製品で短期間に複数のゼロデイ脆弱性が発生しているのか、その根本原因分析と再発防止策を公開すべきではないか。また、ネットワーク基盤製品におけるCVSS評価と実際の悪用リスクの間に乖離がある場合、業界として評価基準の見直しを議論すべきではないか。これらの点は、ネットワークセキュリティに携わる全ての実務者にとって重要な論点となる。
参考
- The Register: Cisco SD-WAN make-me-root bug under attack — 2026-06-15公開
- Cisco Security Advisory CVE-2026-20262（シスコ公式）
よくある質問
- CVE-2026-20262の悪用にはどのような前提条件が必要か
- 攻撃者は少なくとも低権限のシングルタスクユーザーアカウントの有効な認証情報を必要とする。この認証情報を入手した上で、細工したHTTPリクエストを該当APIエンドポイントに送信することで悪用が可能となる。認証情報なしでの攻撃は不可能だが、現実的に認証情報の入手は困難ではないとされる。
- 本脆弱性の回避策は存在するか
- シスコは勧告の中で、全てのデプロイタイプが影響を受け、回避策は存在しないと明言している。唯一の対策は修正済みソフトウェアバージョンへのアップグレードである。デバイス設定による回避は不可能であり、パッチ適用が必須となる。
- どの程度の期間でパッチを適用すべきか
- CISAは連邦政府機関に対し、2週間以内のパッチ適用を義務付けている。民間組織においても、本脆弱性がすでに限定的ながら悪用されている事実を踏まえ、直ちにパッチ適用計画を策定し、可能な限り早期に適用することが強く推奨される。特にCVSS評価以上の実際のリスクを考慮し、優先度を最上位に設定すべきだ。
コメント