Ciscoは2026年10月21日、Cisco Expressway-CとCisco Expressway-Eの情報漏えい、遠隔コード実行の脆弱性と、複数の脆弱性を修正する強化版の情報を公表しました。情報漏えいはX15.5.3で修正済みですが、遠隔コード実行や強化版対象の脆弱性はX15.5.20で修正されています。利用企業は「X15.5.3まで更新済み」で確認を終えず、導入版とクラスタ構成を確認する必要があります。
設定を問わず影響する問題と、クラスタ構成が条件の問題
情報漏えいの脆弱性は、認証を受けていない遠隔の攻撃者に機密情報を取得される恐れがあるものです。MRAの設定配信時に、HTTP要求を許可してよいかの確認が不十分で、細工したURL要求によって悪用される恐れがあります。
対象はExpressway-CとExpressway-Eの仮想版・アプライアンス版です。機器設定に関係なく影響し、X15.5.2以前の問題はX15.5.3で修正されています。
一方、遠隔コード実行の脆弱性は、脆弱な版をクラスタ構成で使う場合が対象です。複数の機器を組み合わせるこの構成では、認証不要の遠隔攻撃によって、システムの最上位権限であるroot権限で任意のOSコマンドを実行される恐れがあります。ただし、悪用には機器へのネットワークアクセスとCookieの所持が必要です。
原因には永続的なCookieの使用があります。また、クラスタの「TLS Verify Mode」が「Enabled」でもクライアント証明書を検証しないため、この設定が有効というだけでは安全と判断できません。仮想版・アプライアンス版の両方に影響し、X15.5.3以前の問題はX15.5.20で修正されています。
強化版もX15.5.20、回避策はなし
Ciscoは、従来の試験手法と先端AIモデルを使った内部試験で見つけた、複数の脆弱性への対処も公表しました。弱点の種類を表すCWE別に整理し、各分類に1件、計8件の脆弱性識別番号であるCVE IDを割り当てています。深刻度の指標であるCVSSスコアは最大8.6です。
強化版対象の脆弱性も、Expressway-CとExpressway-Eの仮想版・アプライアンス版に、機器設定を問わず影響します。X15.5.3以前の問題はX15.5.20で修正済みです。Ciscoは修正版への更新を強く推奨しています。
今回の3つの発表はいずれも回避策はないとしています。Ciscoの製品セキュリティ対応組織であるPSIRTは、公表時点で各脆弱性の悪用を把握していません。ただし、これは更新せずに安全に運用できるという意味ではありません。
日本での提供は発表には書かれていません。国内での修正版の入手や更新支援の条件は、保守窓口に確認してください。
影響する会社・しない会社
- 影響する: Expressway-C／EのX15.5.2以前を使う会社です。情報漏えいの問題は、機器設定や仮想版・アプライアンス版の違いで対象から外れません。
- 影響する: X15.5.3以前を使う会社です。強化版対象の脆弱性があり、クラスタ構成では遠隔コード実行の問題も確認対象になります。X14以前の利用者には、Ciscoが修正版への移行を案内しています。
- 影響しない: クラスタ構成ではない環境は、今回の遠隔コード実行の脆弱性で示された対象条件には該当しません。ただし、情報漏えいや強化版対象の脆弱性まで対象外になるわけではありません。
- 影響しない: X15.5.20では、今回示された情報漏えい、遠隔コード実行、強化版対象の脆弱性は修正済みです。
