Cisco Expresswayに重大な脆弱性―クラスタ構成でroot権限の操作が可能に

Ciscoは2026年10月21日16時（GMT、日本時間22日1時）、Expresswayシリーズの脆弱性CVE-2026-76466を公表しました。ネットワーク経由で到達できる攻撃者が、認証なしでOSの管理者に相当するroot権限のコマンドを実行できる問題で、CVSS基本値は9.8です。

対象は脆弱な版のExpressway-CとExpressway-Eをクラスタ構成で使う環境です。仮想版とアプライアンス版の双方が含まれます。単に製品を導入しているだけでなく、構成条件を確認する必要があります。

原因としてCiscoが挙げるのは永続的なCookieの使用と、クラスタのTLS Verify ModeをEnabledにしてもクライアント証明書が適切に検証されない点です。該当Cookieを持つ攻撃者がデータベースサービスに接続し、特定のRPC操作を呼び出すことでコマンド実行につながると説明しています。

X15.5.3以前に対する最初の修正版はX15.5.20で、X14以前は修正版への移行が必要です。Ciscoは回避策を示しておらず、更新を推奨しています。公表時点で、同社PSIRTはこの脆弱性の悪用を把握していないとしています。