2026年9月16日、Cisco は Identity Services Engine と ISE Passive Identity Connector に影響する CVE-2026-76460 についてのセキュリティアドバイザリーを公開しました。CVSS 基本スコアは 10.0 で、この尺度が与える最大値です。原因はある API エンドポイントにおける認証制御の不備で、その結果、認証されていないリモートの攻撃者が細工したリクエストを送るだけで管理インターフェースに到達できます。Cisco は、同社の PSIRT が実際の悪用を把握していること、そして回避策がないことを明言しています。

技術的な名称は経営者にとってほとんど意味を持ちません。しかし運用上の意味はすべてを物語ります。影響を受ける機器はファイルサーバーでもネットワークプリンターでもありません。ネットワークの他の部分が、接続しようとするすべての人の身元を問い合わせるアプライアンスです。このノートパソコンは許可された従業員のものだ、このスマートフォンはゲストネットワークに入るべき来訪者のものだ、この取引先が到達できるのはちょうど一つのシステムだけだ、と判断するのがこの機器です。その判断を下す権威が崩れたとき、失うのは一つのサービスではありません。すべてのサービスが立っている土台を失うのです。

実際にわかっていること

以下の事実は、報道記事ではなく、Cisco 自身のアドバイザリーと CISA の Known Exploited Vulnerabilities（悪用が確認された脆弱性）カタログによるものです。

  • 影響を受ける製品：Cisco Identity Services Engine および ISE Passive Identity Connector のリリース 3.1 から 3.5。
  • 修正済みリリース：3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7、3.5 Patch 4。
  • 悪用の前提条件：なし。リモートの認証されていない攻撃者が、API エンドポイントに細工したリクエストを一つ送るだけで、アカウントもパスワードも不要。
  • 状況：Cisco PSIRT によれば実際に悪用されており、2026年9月16日に Known Exploited Vulnerabilities カタログに追加され、米国連邦機関に対する修正期限は 2026年9月19日。
  • 回避策：なし。Cisco が挙げる唯一の緩和策は、パッチを適用するまでインフラストラクチャのアクセスコントロールリストでデバイスへのアクセスを制限することです。

この一覧の中で立ち止まって考えるべき言葉が三つあります。リモート、認証不要、そして回避策なしです。このうち一つでも欠けている脆弱性なら、息をつく余裕があります。この脆弱性は、パッチ適用か隔離以外の選択肢を何も残しません。

ID アプライアンスが他のどのサーバーよりも深刻な理由

企業ネットワークでは、システムが侵害されたときの影響は等しくありません。レポートサーバーが侵害されれば、失うのはレポートです。ID とアクセスを管理する機器が侵害されれば、失うのは一台の機器ではありません。ネットワーク全体における「権限」という言葉の意味を失うのです。

そうしたシステムの管理権限を手にした者は、原理的にはポリシーそのものを変更できます。管理策を突破しようとするのではなく、許可された ID を自ら発行できるのです。これが本質的な違いです。攻撃はログ上で異常に見える侵入ではなくなり、完全に正当に見える入場になります。あなたが信頼しているのと同じ門を通ってきたからです。これは最も検知が難しいケースです。監視は、ID システムが承認したものは定義上承認されている、という前提の上に成り立っているからです。

さらに、こうしたアプライアンスの設置場所も考慮すべきです。役割上それが必要なため、ネットワークの中心に置かれ、すべてのセグメントに接続しています。つまり、このアプライアンスに足場を得ることは、その背後にあるすべてへの開かれた道に足場を得ることなのです。だからこそ、ID、アクセス、認証のシステムは、一般的なネットワーク機器の台帳ではなく、重要資産リストの最上位に置くべきです。同じ考え方を別の角度から、誰も把握していない単一障害点についての記事で取り上げました。

教訓は Cisco の話ではない

これを一つのベンダーの一つの製品に関するニュースとして読むのは簡単です。その読み方は心地よいものの、役に立ちません。Cisco は修正を出し、悪用状況を明確に示しました。成熟したベンダーとして本来すべきことです。どのベンダーのセキュリティアプライアンスにも脆弱性はあります。それらはソフトウェアだからであり、同様のアドバイザリーは今後も出てきます。

持ち帰るべき問いは、Cisco を使っているかどうかではありません。ネットワークの利用者を認証しているデバイスやシステムがどれか、それらのバージョンは何か、パッチ適用の責任者は誰か、そして実際にどれだけ時間がかかるのかを把握しているかどうかです。この四つの問いに30分で答えられる組織なら、このアドバイザリーは夕方の作業一つで済みます。アプライアンスを誰が管理しているのかわからない組織は、スタートラインに立つまでに一週間を要し、その一週間はまるごと無防備な期間になります。

これはまさに、国家サイバーセキュリティ庁（NCA）が定めた必須サイバーセキュリティ管理策が脆弱性管理の領域で求めていることです。すなわち、脆弱性の定期的な評価と検出、深刻度による分類、その分類と関連するリスクに応じた修正、新たな脆弱性の情報を得るための信頼できる情報源の購読、そして更新を適用する前に本番以外の環境でその完全性と有効性を検証するパッチ管理です。たいてい機能しなくなるのはパッチ適用そのものではありません。信頼できる情報源です。ベンダーのアドバイザリーを一度も受け取らない組織は、数日後にニュース記事で知るか、まったく知らないままになります。

Origami の見解

私たちはネットワーク機器を販売するのではなく業務システムを構築していますが、それでもあらゆる統合プロジェクトでこの問題の影響を目にします。新しいシステムを顧客のネットワークに接続するたびに、同じ問いが浮かび上がります。ここで権限を与えているのは誰か、そしてその判断はどこに記録されているのか。繰り返し見えてくるのは、脆い部分が新しいアプリケーションやその堅牢化であることはまれだということです。脆いのは、アプリケーションが正しいと前提し、誰も点検しない層です。古く、何年も静かに動き続けているからです。

そのため私たちは、ID の経路上にあるあらゆるコンポーネントを、アプリケーションの隣にあるものではなく、アプリケーションセキュリティの一部として扱います。名称、バージョン、責任者とともに資産リストに記録します。アドバイザリーが届いた当日に即席で決めるのではなく、あらかじめ合意した保守時間枠を設けます。そして管理インターフェースは、一般ネットワークから到達できるようにするのではなく、分離された管理用ネットワークに限定します。これらは新たな予算を必要としない三つの実践であり、Cisco のアドバイザリーを読んで何をすべきかわかる企業と、読んだあとアプライアンスのパスワードを誰が持っているのかを尋ねるところから始める企業との差になります。これは当社のサービス全般に共通する仕事の進め方の一部です。

今週答えるべき五つの質問

これは完全なセキュリティプログラムではありません。次のアドバイザリーへの備えを明らかにする五つの答えです。次のアドバイザリーは必ず来るからです。

  • Cisco ISE または ISE-PIC を使っている場合：どのリリースを使っていますか。それは 3.1 から 3.5 の範囲内ですか。そうであれば、修正済みリリースは上に挙げたとおりで、これは予定に組み込む作業ではなく緊急の作業です。パッチを適用するまでは、アドバイザリーの説明どおり、アクセスコントロールリストでデバイスへのアクセスを制限してください。
  • 資産リスト：運用している認証・アクセスシステムとそのバージョンを記した文書化されたリストはありますか。答えが一人の頭の中にしかないなら、それはリストではありません。
  • アドバイザリーの入手経路：組織内で、利用しているすべてのベンダーのセキュリティアドバイザリーを購読しているのは誰ですか。購読は無料で数分で済み、遅れの原因はたいていツール不足ではなく、この購読がないことです。
  • パッチ適用までの時間：最後に受け取った重大なアドバイザリーからパッチ適用まで、何時間または何日かかりましたか。その数字を書き留めてください。それが本当の指標であり、どんな文書化された計画よりも正直です。
  • 管理インターフェース：重要なデバイスの管理コンソールは、ネットワークのどこからでも到達できますか。それとも定められた管理用ネットワークからだけですか。アクセスを制限しても脆弱性はなくなりませんが、インターネット全体から行われうる攻撃を、まず内部の足場を必要とする攻撃に変えられます。

実務上の結論は限定的です。脆弱性は、事業を待ち伏せする例外的な事故ではなく、予行演習できる繰り返し起こる出来事です。持ちこたえる組織と止まってしまう組織を分けるのは、脆弱性の有無ではなく、修正の公開から適用までに過ぎる時間です。

出典