11月5日（木）の午前1時。日本では多くの人が寝ている時間に、Ciscoは3製品の脆弱性の勧告を、修正版と一緒に出します。Identity Services Engine（ISE）、Unified Communications Manager（Unified CM）、UCS Central Softwareです。Ciscoが10月28日に出した予告によるもので、社内の認証と電話の基盤を受け持つ製品が並びました。
予告で分かることと、まだ分からないこと
予告の題は「Cisco Advance Notification for Publication of November 4, 2026, Security Advisories」です。11月4日に、Ciscoの製品セキュリティの担当（PSIRT）が、次の3製品の勧告と修正版を公開します。
Ciscoの予告。11月4日にISEなど3製品の勧告を出す出典: Cisco「Cisco Advance Notification for Publication of November 4, 2026, Security Advisories」(引用)
| 製品 |
主な用途 |
| Identity Services Engine（ISE） |
社内のネットワークにつなぐ端末と利用者の認証、アクセスの制御 |
| Unified Communications Manager |
社内の電話（IP電話）の呼制御 |
| UCS Central Software |
複数のUCSのサーバーをまとめて管理する |
Ciscoは、勧告に書く修正版へ上げることを強く勧めるとしています。一方で、深刻度、脆弱性の件数、対象の版は、予告には書かれていません。回避策の欄は「No workarounds available」です。
予告には、もう1つ大事な一文があります。Ciscoは、強化版のソフトウェア（security hardening）の勧告を、年内はこれ以上出さない予定です。次の予定は、2027年1月20日です。
7月から、勧告は第1・第3水曜日に出る
Ciscoは2026年7月から、勧告を出す日を決めています。毎月の第1・第3水曜日の、協定世界時の16時（日本時間では翌日の木曜日の午前1時）です。その7日前に、どの製品の勧告が出るかを予告し、出すものが無い回にも予告で知らせます。
Ciscoの説明では、AIを使った調べで見つかる脆弱性が増えたため、その場その場で勧告を出すやり方を改めました。CWEで同じ種類に分けられる不具合は1つのCVEの番号にまとめ、CVSSはその中でいちばん重いものの値にします。深刻度の低いものは、個別の勧告を出さず、まとめた形で知らせるとしています。
ただし、悪用が見つかったときや、深刻な脆弱性が見つかったときは、予定の外でも勧告を出します。年内に強化版の勧告の予定がないことは、年内に臨時の勧告が出ないという意味ではありません。
10月7日の回はNX-OSやFinesseなど（Cisco NX-OSの脆弱性14件、Criticalは4本。対象の機能と修正版の確認）、10月21日の回はUnified CMやExpresswayでした（Cisco、通話管理製品にアクセス制御の脆弱性 設定を問わず更新対象）。Unified CMは、2回続けての勧告になります。
修正版を取れるかは、保守の契約しだい
Ciscoの脆弱性の方針では、ソフトウェアの更新を受けられる保守の契約がある会社は、いつもの経路（主にCiscoのWebサイト）で修正版を取ります。契約がない会社には、深刻度の高い問題に限って、無償の更新を個別に出すことがあります。対象は主にCriticalとHighで、受け取るにはCiscoのサポート窓口（TAC）に連絡します。
無償の更新でも、使えるのは正規に買った機能と版の範囲だけです。サポートが終わった（LDoSを過ぎた）製品は、調べる対象からも外れます。販売代理店から買った機器では、契約の名義や番号を、代理店の側で管理していることもあります。
影響する会社・しない会社
ISEで社内のネットワークや無線LAN、VPNの認証をしている会社と、Unified CMで社内の電話を動かしている会社が、まず対象です。UCS Central Softwareは、CiscoのUCSのサーバーを複数まとめて管理している会社が対象になります。
どの版が対象かは、11月4日の勧告を見るまで決められません。3製品のどれも使っていない会社には、今回の予告は関係ありません。クラウドのサービスとして提供元が運用している場合は、提供元の案内を待ちます。
11月4日までに確かめること
- 社内と委託先で動いているISE、Unified CM、UCS Central Softwareを一覧にし、版と、冗長の構成（ノードの数）を書き出します。
- 保守の契約が、ソフトウェアの更新を受けられる内容で、いまも有効かを、販売代理店に確かめます。CiscoのWebサイトから修正版を取れるアカウントがあるかも、合わせて見ます。
- 11月5日以降に、更新の作業の窓を仮で押さえます。ISEは認証が止まらないようにノードを1台ずつ上げる順番を、Unified CMは電話が止まる時間と、利用者への知らせ方を先に決めておきます。
- 更新の前に戻せるよう、設定のバックアップを取る手順を確かめておきます。
- 次の予告を見逃さないよう、Ciscoのセキュリティの通知（メールかRSS）を、担当の共有のアドレスで受け取る設定にします。
