Cisco、SQL注入の影響対象を追加 Unified CCXも修正版を確認

Ciscoは2026年10月20日、Cisco Unified Intelligence CenterのSQL注入の脆弱性に関する勧告を更新し、Cisco Unified Contact Center Express(Unified CCX)を影響対象に追加しました。有効なユーザー認証情報を持つ攻撃者に、機器の内部データベースを読み取られる恐れがあります。修正ソフトウェアは公開済みで、Unified CCXの利用企業も更新状況の確認が必要です。

今回の変更はUnified CCXの対象追加

この勧告の初回公開日は2026年8月19日です。今回の更新は、新たな脆弱性の発表ではなく、影響を受ける製品の追加です。Unified CCXはCisco Unified Intelligence Centerを同梱するため、影響を受けます。以前の勧告を確認済みでも、Unified CCXを対象外として整理していた場合は見直してください。

脆弱性があるのは、Cisco Unified Intelligence CenterのWeb管理画面です。ユーザー入力の検証が不十分なため、認証済みのローカル攻撃者が細工した要求を送り、ブラインドSQL注入という手法で内部データベースを読み取る恐れがあります。

攻撃には対象機器の有効なユーザー認証情報が必要です。ただし、Cisco Unified Intelligence Centerは機器の構成に関係なく影響を受けます。認証が必要であることと、修正が不要であることは分けて判断する必要があります。

Cisco PSIRTは、この脆弱性の公表情報や悪用を把握していないとしています。これは、更新を見送ってよいという意味ではありません。なお、日本での提供は発表には書かれていません。

修正版は製品ごとに異なり、回避策はなし

Ciscoは修正版への更新を強く推奨しています。この脆弱性に対する回避策はありません。修正版は次のとおりです。

• Cisco Unified Intelligence Centerの12.6系：12.6(2) ES08で修正。
• Cisco Unified Intelligence Centerの15.0系：15.0(1) SU2で修正。
• Cisco Unified CCXの15.0系：15.0(1) SU1で修正。

Cisco Unified Intelligence Centerの12.6未満と、Cisco Unified CCXの15.0未満は、修正版への移行が必要です。

同じ15.0系でも、Cisco Unified Intelligence CenterはSU2、Unified CCXはSU1が修正版です。製品名を省いて「15.0系は更新済み」とだけ記録すると、確認を誤るおそれがあります。製品名と完全な版番号を組み合わせて管理してください。

影響する会社・しない会社

• 影響する: Cisco Unified Intelligence Centerの未修正版を使う会社です。機器の構成に関係なく対象となります。
• 影響する: Unified CCXの未修正版を使う会社です。Cisco Unified Intelligence Centerを別途導入した認識がなくても、同梱されているため確認が必要です。
• 影響しない: 両製品を利用していない会社は、今回の勧告に記載された製品の確認対象ではありません。
• 影響しない: 今回の脆弱性が修正された版へ更新済みの環境です。ただし、更新済みかどうかは製品別の修正版と照合してください。

情シスが今日やること

1. 本日中を目安に、IT資産台帳と保守契約を確認し、両製品の利用有無と運用担当者を洗い出してください。Unified CCXを委託先が運用している場合は、委託先にも確認を依頼します。
2. 運用担当者に、製品名と完全な版番号の報告を依頼してください。確認画面の具体的なメニューや操作手順は、今回の発表には書かれていません。既存の運用手順で確認し、製品別の修正版と照合します。
3. 未修正版があれば、保守窓口に更新・移行の手順を確認し、業務部門と作業日程を調整してください。古い系列は修正版への移行が必要です。回避策がないことも伝え、更新の担当者と実施予定日を決めます。
4. 更新後は版番号を再確認し、台帳と対応記録を更新してください。以前の勧告でUnified CCXを対象外としていた場合は、その判定も修正し、セキュリティ担当と委託先に共有します。