Ciscoは、Merakiのゲートウェイ、スイッチ、無線アクセスポイント、カメラに影響するセキュリティ脆弱性7件を公表した。中にはCVSS深刻度スコア9.6の重大な脆弱性も含まれる。複数の製品ではすでに修正が提供されている一方、一部のファームウェアアップデートは10月後半または11月まで提供されない見込みだ。
この脆弱性は、デバイス構成にかかわらずMerakiの6つの製品ファミリーに影響する。Ciscoによると回避策はなく、管理者は各製品およびソフトウェアリリース向けに提供される修正済みファームウェアに頼ることになる。
このアドバイザリーは2026年10月7日に公開され、翌日にMXセキュリティアプライアンス向けの追加の修正済みリリースが追記された。Ciscoは、これらの脆弱性が悪用されたことを示す既知の事例を報告していない。
Cisco Merakiの脆弱性7件、スコアは9.6以下
Ciscoのセキュリティアドバイザリーによると、最も深刻な問題であるCVE-2026-76464は、バッファーオーバーフローや範囲外書き込みなど、メモリーバッファーのエラーを扱うCWE-119に分類される。
CVSSスコアは9.6で、隣接ネットワークから攻撃可能なベクトルを持つ。Ciscoが公開した深刻度ベクトルによると、悪用に認証もユーザー操作も必要ない。
残る6つの脆弱性グループは、アクセス制御、入力検証、リソース管理、計算、制御フロー、インジェクションに関する問題を対象としている。
Ciscoは以下のCVEを挙げている。
- CVE-2026-76464（CVSS 9.6）：メモリーバッファー操作に対する不適切な制限。
- CVE-2026-76463（CVSS 8.8）：不適切なアクセス制御。
- CVE-2026-76467（CVSS 7.5）：存続期間全体にわたるリソースの不適切な管理。
- CVE-2026-76468（CVSS 8.2）：不適切な入力検証。
- CVE-2026-76469（CVSS 7.4）：制御フロー管理の不備。
- CVE-2026-76470（CVSS 8.8）：誤った計算。
- CVE-2026-76472（CVSS 8.8）：インジェクションの弱点を含む、特殊要素の不適切な処理。
Ciscoは、関連する問題をCommon Weakness Enumeration（CWE）の分類に基づいて個別のCVE識別子にまとめている。公開された各深刻度スコアは、そのグループに含まれるすべての弱点が同じ影響を持つことを示すものではなく、基になる最も深刻な脆弱性を表している。
同社のエンジニアリングチームは、既存のテストプロセスと最先端のAIモデルを含む内部セキュリティテストを通じて問題を特定した。
CiscoのProduct Security Incident Response Team（PSIRT）は、アドバイザリー発行時点で、これらの脆弱性に関する公表や悪用を把握していなかったと述べた。
アップデートが必要なCisco Meraki製品は？
このアドバイザリーはMerakiの6つの製品ファミリーを対象としている。
- Meraki Campus Gateway
- Meraki MGセルラーゲートウェイ
- Meraki MR無線アクセスポイント
- Meraki MSスイッチ
- Meraki MVスマートカメラ
- Meraki MXセキュリティ／SD-WANアプライアンス
影響を受けるソフトウェアリリースと修正内容は、これらの製品によって異なる。管理者は、各デバイスの製品ファミリーとファームウェアトレインをCiscoの修正済みリリース一覧と照合する必要がある。
修正済みファームウェアはすでに提供中
Ciscoは、影響を受ける複数の製品ファミリーについて、最初の修正済みリリースを以下のように示している。
- MGセルラーゲートウェイ：26.1トレイン向けリリース26.1.4。
- MR無線アクセスポイント：各トレイン向けにリリース30.7.3、31.1.8.1、33.1.3。
- MSスイッチ：対応するIOS XEトレイン向けにIOS XE 17.15.6、17.18.4.1、26.1.2。
- MVスマートカメラ：7シリーズトレイン向けリリース8.0。
- MXセキュリティアプライアンス：対応する各トレイン向けにリリース18.107.14、19.2.9、26.1.7、26.2.3。
MXのリリース要件には重要な例外がある。Ciscoによると、リリース19.2.9はMeraki Z3デバイスでのみ利用できる。
利用可能なアップデートの選択肢にMXリリース18.107.14または19.2.9が見つからない顧客は、Cisco Meraki Technical Supportに問い合わせる必要がある。
ファームウェアの修正はなお保留
Ciscoの10月8日のアドバイザリーでは、将来の提供予定日とともに3つの修正済みリリースが記載されている。
- Campus Gateway 32.2：リリース32.2.5、2026年10月下旬の提供予定。
- Campus Gateway 33.1：リリース33.1.4、2026年11月中旬の提供予定。
- MSスイッチ18.1：リリース18.1.9、2026年10月中旬の提供予定。
32.2トレインで動作するMR無線アクセスポイントにもリリース32.2.5が必要で、Ciscoは10月下旬の提供予定としている。
これらはCiscoが予測する提供日であり、ファームウェアの出荷を確認したものではない。管理者はアップグレードを予定する前に、最新のアドバイザリーとMeraki Dashboardを確認する必要がある。
製品ファミリー間の違いは、リリース33.1では特に重要になる。MRアクセスポイントの最初の修正済みリリースは33.1.3だが、Campus Gatewayにはそれより後のビルドである33.1.4が必要だ。
別のMeraki製品ファミリーに対応する同じバージョン番号では、必ずしも保護されない。
修正が保留されている間に管理者がすべきこと
Ciscoは、これらの脆弱性に対処する回避策はないとしている。推奨される対策は、影響を受ける各製品向けに記載された修正済みソフトウェアをインストールすることだ。
Meraki製品が混在する環境では、当面の対応は以下のとおりだ。
- 影響を受けるデバイスを棚卸しする。すべてのCampus Gateway、MGゲートウェイ、MRアクセスポイント、MSスイッチ、MVカメラ、MXアプライアンスと、それぞれのファームウェアバージョンを特定する。
- デバイスを修正済みリリースと照合する。バージョン番号だけでなく、デバイスのファミリーとファームウェアトレインを使ってCiscoのアドバイザリーを確認する。
- 修正が提供されている製品をアップグレードする。ファームウェアアップデートを予定し、完了後にインストールされたリリースを確認する。
- 保留中のファームウェアを追跡する。10月および11月に予定されているリリースを監視し、提供開始時にメンテナンス時間を確保する。
- アップグレードへのアクセス権と権限を確認する。認証された管理者がMeraki Dashboardを通じてファームウェアのアップグレードを管理できることを確認する。
- リリースノートを確認する。本番環境のデバイス全体にファームウェアを展開する前に、既知の問題とモデル固有の制限を確認する。
MRアクセスポイントを管理する管理者は、特にMR 33.1.3のリリースノートに注意を払う必要がある。
このリリースには、文書化された修正12件と既知の問題4件が含まれる。アップグレード前に、既知の問題が実際に使用しているアクセスポイントのモデルにどう影響するかを確認すべきだ。
古いファームウェアを使い続けている組織は、CiscoのMerakiファームウェアのサポート終了ポリシーも確認する必要がある。一部の古いファームウェアトレインは通常のメンテナンスを受けられなくなっており、セキュリティ修正の対象となるかどうかは、推測せず確認しなければならない。
修正済みリリースを追跡することは、脆弱性管理の重要な一部だ。特に、製品によって必要なアップデートが異なる場合はなおさらである。
より広範なインフラ環境を管理するセキュリティチームにとっては、パッチ管理のプロセスも、未対応のアップデートを記録し、対策が完了したかどうかを確認するのに役立つ。
CiscoのMerakiアドバイザリーにより、管理者には段階的なパッチ適用スケジュールが残されている。修正が提供済みの製品は今すぐアップデートできる一方、影響を受けるファームウェアを使用していて修正がまだリリースされていない製品については、Ciscoが公開する提供予定日を監視し、アップデートが利用可能になり次第メンテナンス時間を確保する必要がある。
関連記事：Microsoftの9月のセキュリティアップデートでは、攻撃者がすでに悪用していたWindowsのゼロデイ2件を含む、数百件の脆弱性が修正された。