Ciscoは2026年10月7日、Cisco License On-Prem（旧称Smart Software Manager On-Prem、SSM On-Prem）に影響する8つの脆弱性グループおよび脆弱性に対するセキュリティアップデートをリリースした。最も深刻なCVE-2026-76482は、CVSSの最大スコアである10.0を付与されており、暗号署名の不適切な検証に関するものだ。
この脆弱性はネットワーク経由で攻撃可能で、認証もユーザーによる操作も必要としない。その他の脆弱性を悪用すると、攻撃者は認証を回避したり、機密情報にアクセスしたり、コマンドを実行したり、ライセンスアプリケーションを妨害したりできる可能性がある。
Ciscoは、脆弱性をカバーする2件のセキュリティアドバイザリを公開したが、修正版リリースの要件はそれぞれ異なる。管理者はアップグレード前に、インストール済みのバージョンを両方のアドバイザリと照合すべきだ。
Cisco License On-Premで8件の脆弱性が公開される
Ciscoの10月のセキュリティ強化アドバイザリでは、社内のセキュリティテストによって発見された4つの脆弱性クラスが特定されている。
各クラスには1つのCVE識別子が割り当てられており、そのCVSSスコアは、各カテゴリーに含まれる根本的な問題のうち最も深刻なものを反映している。
- CVE-2026-76482（CVSS 10.0）：暗号署名の不適切な検証。
- CVE-2026-76480（CVSS 9.8）：重要な機能に対する認証の欠如。
- CVE-2026-76483（CVSS 9.1）：認証情報の保護が不十分。
- CVE-2026-76484（CVSS 8.8）：コード生成の制御が不適切で、コードインジェクションにつながる可能性がある。
Ciscoによると、同社のエンジニアは、確立された社内セキュリティテストに加え、最先端のAIモデルを使って問題を発見した。
同社は、情報開示と修正を効率化するため、関連する発見事項を脆弱性クラスごとにまとめた。深刻度スコアは、各グループ内の個々の弱点すべてに必ずしも当てはまるわけではない。
また、Ciscoの2件目のアドバイザリでは、10月7日に公開された、製品のWeb管理インターフェースとAPIに影響する4つの追加脆弱性について詳しく説明している。
- CVE-2026-20328：任意のアカウントのパスワードをリセットできる脆弱性で、不正アクセスを可能にするおそれがある。
- CVE-2026-76454：認証なしで悪用できるAPIの脆弱性で、任意のファイル書き込みやサービス拒否を可能にするおそれがある。
- CVE-2026-76437：コマンドインジェクションの欠陥で、認証済みの攻撃者がOSコマンドを実行できる可能性がある。
- CVE-2026-76452：SQLインジェクションの脆弱性で、認証済みの攻撃者が悪意のあるデータベースクエリを実行できる可能性がある。
Ciscoは、CVE-2026-20328、CVE-2026-76437、CVE-2026-76452について、NATO Cyber Security CentreのGabriele Paris氏から報告を受けたとして謝意を示した。CyStackのTrung Nguyen氏はCVE-2026-76454を報告した。
いずれのアドバイザリにも、悪意のある攻撃が確認されているとの記載はなく、Ciscoによると、脆弱性に対処する回避策も存在しない。
影響を受けるCiscoのリリースは？
両アドバイザリは、ソフトウェア構成にかかわらずCisco License On-Premを対象としている。Smart Software Manager On-Premの名称を使用している古いインストール環境も影響を受ける。
セキュリティ強化アドバイザリでは、次の修正要件が示されている。
- 10シリーズの10-202608以前のリリース：10-202609またはそれ以降の修正版リリースにアップグレードする。
- 10-202601以前のリリース：修正版リリースに移行する。
- 10-202609：セキュリティ強化に関する問題の影響を受けない。
Web/APIアドバイザリには、異なる修正版リリースの表が掲載されている。以前の影響を受ける10シリーズのバージョンについては10-202608を最初の修正版リリースとして示し、古い9シリーズのインストール環境には移行を指示している。
10-202609はセキュリティ強化に関する問題に対処しており、補足アドバイザリでも脆弱性の影響を受けないリリースとして記載されているため、現在の10シリーズのリリースに移行する管理者にとって適用すべき修正版はこれになる。ただし、アップグレード経路についてはCiscoのリリースノートに従う必要がある。
Ciscoは、独立したCisco Smart Licensing Utility製品はセキュリティ強化に関する脆弱性の影響を受けないことを確認した。補足アドバイザリで説明されている、名称が似たSmart Licensing Utility APIは影響を受けるLicense On-Premアプリケーションの一部であり、スタンドアロンのユーティリティが脆弱であることを示すものではない。
管理者は、影響の有無を判断する前に、正確な製品名とインストール済みリリースを特定すべきだ。
管理者がすべきこと
Ciscoは、修正版ソフトウェアへのアップグレードまたは移行を推奨している。古いSSM On-Premのバージョンを運用している組織は、通常のアップデートをインストールするのではなく、移行手順に従う必要がある場合がある。
セキュリティおよびITチームは、次の対応を行うべきだ。
- インストール環境を棚卸しする。Cisco License On-Premと従来のSSM On-Premのインスタンスを、正確なソフトウェアリリースを含めて特定する。
- 適用可能な修正を確認する。Ciscoの両方のアドバイザリを確認し、各インストール環境のアップグレードまたは移行経路を確認する。
- 修正のスケジュールを設定する。適切な修正版ソフトウェアを入手し、Ciscoが公開しているアップグレード手順に従う。
- 結果を検証する。変更後にインストール済みバージョンを確認し、アプリケーションの管理インターフェースへのアクセスを見直す。
Ciscoは4月にも、以前のSSM On-Premのコマンド実行の脆弱性CVE-2026-20160を修正した。この欠陥のCVSSスコアは9.8で、認証されていない攻撃者がroot権限でOSコマンドを実行できる可能性があった。
複数のインフラ脆弱性に対応する組織では、脆弱性管理ツールによって影響を受けるシステムのインベントリを維持できる一方、パッチ管理プロセスによって修正状況を追跡できる。
Cisco License On-Premの導入環境で直ちに優先すべきことは、インストール済みバージョンを確認し、適用可能な修正版リリースの指針に従うことだ。Ciscoはアップデートを発行したが、10月のいずれのアドバイザリにも、脆弱なソフトウェアを使い続ける組織向けの回避策は記載されていない。
関連記事：Dellは最近、最大深刻度のストレージ脆弱性2件を公開した。これらを悪用されると、管理者の認証情報が露出し、エンタープライズストレージシステムが侵害される可能性がある。