Cisco IOS XEに10件の脆弱性 CVE-2026-20272ほか、回避策なし

2026年8月5日、Ciscoが同社のネットワーク機器用ソフト「IOS XE」に関する脆弱性を10件まとめて公表しました。最も重いものは10点満点中9.8。そして10件すべてに回避策がありません。設定を変えてしのぐことはできず、ソフトを上げるしかありません。

ただし、この公表にはひとつ変わったところがあります。攻撃されたから出てきたものではありません。

7件を束ねた告知の書き出しは、こうなっています。「Ciscoの継続的なセキュリティ向上と製品品質への取り組みの一環として、IOS XEソフトウェアのエンジニアリングチームが全面的な内部セキュリティレビューを実施した」。Cisco自身が自社製品を掘り、自分で見つけて、まとめて出したということです。悪用の報告も、攻撃コードの流通も、現時点で確認されていません。

上げるべきバージョンは、はっきりしています。17.9系なら17.9.10、17.12系なら17.12.8、17.15系なら17.15.6、17.18系なら17.18.4、26.1系なら26.1.2です。

IOS XEとは何か。自分に関係あるのか

IOS XEは、Ciscoのルーターやスイッチ、無線LANの親機を動かしているソフトウェアです。パソコンでいうWindowsやmacOSにあたるもので、機器そのものではなく機器の中で動いている基本ソフトを指します。

個人が家庭で触ることはまずありません。ただし、会社のオフィス、学校、病院、工場、自治体の庁舎で、社内ネットワークの通信を実際にさばいているのがこの機器です。フロアのLANケーブルが集まる先、社内Wi-Fiの電波を配っている装置、拠点間をつなぐ回線の出入り口――そのあたりに入っています。

つまり「自分に関係あるか」の答えは、自社のネットワーク機器がCisco製かどうかを管理部門が把握しているかで決まります。使っている本人が意識することはないけれど、止まれば全員の通信が止まる。そういう位置にあるソフトです。

なお、同じCisco製品でもファイアウォールの管理ソフト（FMC）は別枠で、そちらは7月末から実際に攻撃されている脆弱性が出ています。今回の10件とは別の話です。

公表された10件

10件のうち7件が「内部レビュー」の成果としてひとつの告知にまとめられ、残る3件は個別に公表されました。

内部レビューの7件について、Ciscoは個別の技術的な詳細をほとんど出していません。欠陥の分類（CWE番号）と危険度の数字はありますが、「どの機能のどこが、どう間違っていたか」は書かれていません。まとめて直したので、まとめて上げてほしい、という形の公表です。

「堅牢化」という名前がついた告知の中身

7件を束ねた告知には、hardening（堅牢化）という語が付けられています。日本語にすれば「作りを固める」といった意味合いで、緊急事態を知らせる言葉ではありません。

ですが、その看板の下に入っているのは9.8が1件、9.0が1件です。9.8は「危険」区分の上のほう、10点満点の評価では最上位に近い数字です。

これは矛盾ではありません。危険度の点数は「悪用されたときに何が起きるか」を測る物差しであって、「いま攻撃されているか」を測るものではないからです。誰にも知られないうちに自分で見つけて直した穴でも、穴の大きさ自体は変わりません。

同じ日、当サイトは別の案件で真逆の例を扱いました。開発現場で使われるTeamCityの脆弱性は危険度9.8で、米政府から3日以内の修正を命じられています。同じ9.8でも、一方は「攻撃されている」、もう一方は「メーカーが自分で見つけた」。数字は同じで、置かれた状況がまるで違います。

実務としては、この違いが優先順位を決めます。攻撃が進行している穴は今日ふさぐ。自主公表の穴は、計画を立てて確実に上げる。ただし「急ぎではない」は「やらなくていい」ではありません。公表された時点で、攻撃する側も同じ情報を手にしています。

誰が狙い、何が起きるのか

企業のネットワーク機器を探して回るのは、企業に侵入して身代金を要求する犯罪グループと、他国の情報機関に雇われた集団です。この種の機器は、両者にとって理想的な足がかりになります。

なぜかというと、彼らはここを社内に入るための入口と、盗んだデータを外へ運び出す出口の両方に使うからです。ルーターやスイッチは社内と社外の境目に立っていて、しかも24時間動き続けています。パソコンと違って、不審な動きを見張るソフトを入れる習慣がありません。侵入されても、気づく仕掛けがないのです。

被害の出方は2通りあります。ひとつは通信そのものが止まること。今回の10件のうち2件は、機器を再起動させたり応答不能にしたりする性質のもので、CVE-2026-20263 はログインすら必要としません。もうひとつは、静かに居座られること。機器を握られたまま数か月経ってから、社内の重要なデータが持ち出されていたと分かる、という形です。

前者は誰でもすぐ気づきますが、後者は気づくまでに時間がかかります。そして被害が大きいのは、たいてい後者です。

どのバージョンへ上げればよいのか

対象と上げ先は、以下のとおりです。回避策はありません。設定変更や機能の無効化でしのぐ手はなく、Cisco自身も「利用可能な回避策はない」と明記しています。

ネットワーク機器の更新は、パソコンのソフト更新とは事情が違います。更新中は通信が止まります。拠点をまたぐ機器なら、業務時間外に作業日を設けて順番に上げていくことになります。だからこそ、公表された時点で計画を立て始める必要があります。

自社の機器がどの系列で動いているかは、機器の管理画面か、コマンドで確認できます。台数が多い環境では、まず「どの機器が何番で動いているか」の一覧を作るところから始めるのが現実的です。自社が何を使っているかを把握する仕組みがないまま告知だけ追いかけても、手は動きません。

個別に公表された3件

CVE-2026-20263: ログイン不要で機器を止められる

今回の10件のうち、唯一ログインを必要としないのがこれです。BEEPという、機器同士がメッセージをやり取りするための仕組みに欠陥があり、認証を経ていない相手からの通信で機器を応答不能にできます。

この機能を使っていない環境も多いはずですが、有効になっているかどうかを確認しないと分かりません。危険度は8.6です。

CVE-2026-20301: 外部クライアント向けの通信機能

XMCPと呼ばれる通信の仕組みにある欠陥で、IOS XEだけでなく従来のIOSも対象です。危険度8.6。

CVE-2026-20124: 監視機能経由で機器を止める

SNMPという、ネットワーク機器の状態を遠隔から監視するための仕組みに欠陥があります。ログイン済みの相手が機器を応答不能にできるもので、危険度は7.7です。

SNMPは「機器を守るために入れる監視の仕組み」です。見張るために付けた口が、そのまま止めるための口になっているという形になります。

同じ日、SD-WANにも5件

8月5日にCiscoが出したのは、IOS XEの分だけではありません。拠点間をつなぐ仕組みであるCatalyst SD-WANについても、同じ「内部レビュー」の成果として5件が公表されています。そちらには危険度9.9が2件含まれ、やはり回避策はありません。

SD-WANについては、当サイトで別途まとめている記事があります。使っている製品が違うため、そちらで扱います。

サーバー管理用のIMCにも、同日CVE-2026-20200（危険度8.8）が公表されました。こちらは内部レビューではなく個別の案件で、権限の低いログイン済み利用者が任意のコマンドを実行できるというものです。

確認できたこと、確認できなかったこと

なお、危険度の数字については採点元による差があります。今回の分ではありませんが、同時公表のSD-WAN側にある CVE-2026-20310 は、Ciscoの告知では9.9、米国の脆弱性データベース（NVD）では9.1と記録されています。同じ穴に0.8の差がついている形です。危険度の数字は絶対的な尺度ではなく、誰がどの前提で採点したかによって動きます。

自分で掘って出す、ということ

今回の公表で目を引くのは、危険度の数字よりも出てきかたです。

脆弱性の多くは、外部の研究者が見つけて報告するか、攻撃が観測されて発覚します。今回の7件は、そのどちらでもありません。メーカーが自分の製品を疑って掘り、出てきたものを自分で公表しました。攻撃されるまで放置するより、はるかに望ましい形です。

同時に、これは「掘れば出てくる」ことの証明でもあります。長年使われてきた製品の中に、9.8の穴が残っていた。誰も攻撃していなかっただけで、そこにはあった。今回見つかった10件は、掘った結果として見つかった分であり、掘り終わったという意味ではありません。

利用する側にできるのは、公表されたものを確実に潰していくことだけです。上げ先のバージョンは全部そろっています。回避策はありません。作業日を決めるところから始まります。

参照元

• ▸ Cisco - Cisco IOS XE Software Hardening（内部レビュー7件）（2026年8月5日）
• ▸ Cisco - IOS XE Software BEEP Denial of Service Vulnerability（CVE-2026-20263）（2026年8月5日）
• ▸ Cisco - IOS and IOS XE Software XMCP Vulnerability（CVE-2026-20301）（2026年8月5日）
• ▸ Cisco - IOS XE Software SNMP Denial of Service Vulnerability（CVE-2026-20124）（2026年8月5日）
• ▸ Cisco - IMC Argument Injection Vulnerability（CVE-2026-20200）（2026年8月5日）
• ▸ Cisco - Catalyst SD-WAN Software Hardening（同日公表の5件）（2026年8月5日）
• ▸ NVD - CVE-2026-20272（危険度9.8）（2026年8月5日）