Cisco ISEの遠隔コード実行の脆弱性CVE-2026-20181
Cisco Systemsの2026年6月17日のアドバイザリでは、ISEとISE-PICの脆弱性CVE-2026-20181により、攻撃者は機器の基盤のOSで任意のコマンドを実行しうるが、悪用には有効な管理者の資格情報が要る［1］。7月6日の改訂版（Version 1.2）で、Cisco PSIRTはアドバイザリの脆弱性の公の発表も悪意ある利用も把握していないとした［1］。
脆弱性の内容
同じアドバイザリは、情報漏えいの脆弱性CVE-2026-20190も扱う［1］。
| 項目 | CVE-2026-20181 | CVE-2026-20190 | 資料 |
|---|---|---|---|
| 種類 | 遠隔コード実行 | 情報漏えい | ［1］ |
| 攻撃者 | 認証済みの遠隔の攻撃者 | 認証していない遠隔の攻撃者 | ［1］ |
| 原因 | ユーザーが与えた入力の検証の不足 | リソースへのアクセスの際の不適切な認可の確認 | ［1］ |
| CWE（CVE記録） | CWE-22（パストラバーサル） | - | ［4］ |
| バグID | CSCwt22913 | CSCwt22936 | ［1］ |
| SIR（Cisco） | Critical〔注1〕 | High | ［1］ |
| CVSS 3.1の基本値（Cisco） | 9.1 | 7.5 | ［1］ |
| CVSSのベクトル（Cisco） | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N | ［1］ |
| CVSSの基本値（ZDI） | 7.2 | 7.5 | ［9、10］ |
| CVSSのベクトル（ZDI） | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H | - | ［9］ |
Ciscoのアドバイザリでは、攻撃者は細工したHTTP要求を機器に送ってCVE-2026-20181を悪用でき、成功すると基盤のOSにユーザー権限でアクセスし、rootに権限を昇格しうる［1］。単一ノードの構成では、悪用の成功でISEノードが使えなくなり、DoSの状態に至りうる［1］。その状態では、まだ認証していないエンドポイントはノードが復旧するまでネットワークに接続できない［1］。
TrendAI Zero Day Initiative（ZDI）はZDI-26-579で、欠陥はzipFilesメソッドにあり、ファイル操作に使う前にユーザーが与えたパスを適切に検証しないことによると書いた［9］。攻撃者はiseadminportalユーザーの文脈でコードを実行しうる［9］。
Ciscoのアドバイザリによると、CVE-2026-20190を悪用した攻撃者はハッシュ化された資格情報を含む機密情報を得うるもので、その情報は将来の攻撃に使われうる［1］。ZDIはZDI-26-580で、この欠陥はアップグレードファイルの処理にあり、機能へのアクセスの前に認証が無いと書いた［10］。
Ciscoはアドバイザリの謝辞で、CVE-2026-20181をTrendAI Researchの研究者が報告し、STAR Labs SG Pte. Ltd.の研究者2人も独立に報告したと記した［1］。CVE-2026-20190の報告者は、TrendAI Zero Day Initiativeの研究者である［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | TrendAI Zero Day Initiative | CVE-2026-20181とCVE-2026-20190をCiscoに報告した | ［9、10］ |
| 2026年 | Cisco | ISE 3.5 Patch 3を一般提供した | ［14］ |
| 2026年 | Cisco | ISE 3.3 Patch 11を一般提供した | ［12］ |
| 2026年 | Cisco | ISE 3.4 Patch 6を一般提供した | ［13］ |
| 2026年 | Cisco | アドバイザリcisco-sa-ise-multi-G5WP8vv（Version 1.0）とCVE-2026-20181のCVE記録を公開した | ［1、4］ |
| 2026年 | Cisco | Version 1.1で、表のホットパッチの提供の記載を明確にした | ［1］ |
| 2026年 | シンガポールのCSA | 警報AL-2026-081を出した | ［6］ |
| 2026年 | Cisco | Version 1.2で、CVE-2026-20181の3.1と3.2のパッチ情報を加えた | ［1］ |
| 2026年 | TrendAI Zero Day Initiative | ZDI-26-579とZDI-26-580を公開した | ［9、10］ |
| 2026年 | Cisco | ISE 3.5 Patch 4を一般提供した | ［14］ |
対象の製品と版
Ciscoはリリースノートで、ISEをネットワーク資源への安全なアクセスを提供するセキュリティポリシーの管理基盤と説明した［12］。アドバイザリでは、2件の脆弱性は機器の設定にかかわらずISEとISE-PICに影響する［1］。
| 系列 | CVE-2026-20181の修正版 | CVE-2026-20190の修正版 | 系列のリリース日 | 資料 |
|---|---|---|---|---|
| 3.1より前 | 修正版のリリースへの移行 | 影響を受けない | - | ［1］ |
| 3.1 | 3.1 Patch 12（Sep 2026）〔注2〕 | 影響を受けない | - | ［1］ |
| 3.2 | 3.2 Patch 11（Sep 2026） | 影響を受けない | - | ［1］ |
| 3.3 | 3.3 Patch 11 | 影響を受けない | 2023年7月10日 | ［1、16］ |
| 3.4 | 3.4 Patch 6 | 3.4 Patch 6 | 2024年7月31日 | ［1、16］ |
| 3.5 | 3.5 Patch 4（Aug 2026）かホットパッチ | 3.5 Patch 3 | 2025年9月22日 | ［1、16］ |
Ciscoのアドバイザリの表の脚注では、ISE-PICは販売終了日を迎え、3.4がサポートされる最後のリリースである［1］。ISE-PICの販売終了の告知で、Ciscoは販売終了日を2025年11月3日とした［15］。ソフトウェアの保守リリースの終了日は2026年11月3日である［15］。
悪用の状況
CVE記録に含まれるCISAのADPの評価（SSVC）は、Exploitationがnone、Automatableがno、Technical Impactがtotalだった［4］。NVDが9月25日に更新した記録にも、CISAのKEVへの追加の日付は無い［5］。
米カリフォルニア州のCal-CSICは勧告CAL-CSIC-202606-A-012で、どちらの脆弱性にもPoCは無く、実環境での悪用やゼロデイとしての悪用の証拠も無いと記した［8］。
修正と回避策
Ciscoのアドバイザリによると、これらの脆弱性に対処する回避策は無く、Ciscoは修正版への更新を強く推奨する［1］。PSIRTが検証するのは、アドバイザリに記した影響を受けるリリースと修正版の情報だけである［1］。3.5 Patch 3向けのホットパッチは、Cisco TACに連絡すれば要求に応じて提供する［1］。Ciscoは公開直後の版のアドバイザリを、sec.cloudapps.cisco.comにも掲載した［3］。
SecurityWeekは6月18日の記事で、3.5向けのホットフィックスは既に提供されており、8月の3.5 Patch 4に含まれると報じた［11］。
シンガポールのCSAの警報では、3.5のCVE-2026-20181の修正版（Patch 4）は8月まで提供されない〔注3〕［6］。CSAは直ちにパッチを当てるよう求めた［6］。カナダのCyber CentreはAV26-613で、影響を受ける版を挙げて更新の適用を促した［7］。Cal-CSICは、Ciscoの修正の手引きにできるだけ早く従うよう勧めた［8］。
未公表の事項
- CiscoによるCVE-2026-20181の脆弱な機能やエンドポイントの説明
- 影響を受ける機器の台数
- 3.1 Patch 12と3.2 Patch 11の実際の提供日
注
出典
当事者
- ［1］Cisco Systems, Inc.『Cisco Identity Services Engine Remote Code Execution and Information Disclosure Vulnerabilities』（2026年6月17日公開、2026年7月6日更新）
- ［2］Cisco Systems, Inc.『Cisco Identity Services Engine（ISE）のリモートコード実行と情報漏洩の脆弱性』（2026年6月17日公開、2026年7月6日更新）
- ［3］Cisco Systems, Inc.『cisco-sa-ise-multi-G5WP8vv』（公開日不明、保存記録のみ） 保存記録
公的機関
- ［4］CVE Program『CVE-2026-20181』（2026年6月17日公開、2026年6月18日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-20181』（2026年6月17日公開、2026年9月25日更新）
- ［6］Cyber Security Agency of Singapore『Multiple Vulnerabilities in Cisco Identity Services Engine』（2026年6月19日公開、2026年7月30日更新）
- ［7］Canadian Centre for Cyber Security『Cisco security advisory (AV26-613)』（2026年6月17日公開）
- ［8］California Governor's Office of Emergency Services『CYBER ADVISORY: Multiple Vulnerabilities Impacting Cisco ISE and Cisco ISE-PIC』（2026年6月18日公開、PDF）
調査・観測
- ［9］Trend Micro『ZDI-26-579: Cisco Identity Services Engine zipFiles Directory Traversal Remote Code Execution Vulnerability』（2026年8月13日公開）
- ［10］Trend Micro『ZDI-26-580: Cisco Identity Services Engine Missing Authentication for Critical Function Information Disclosure Vulnerability』（2026年8月13日公開）
報道機関
- ［11］Wired Business Media『Critical Command Execution Vulnerability Patched in Cisco ISE』（2026年6月18日公開）
背景資料
- ［12］Cisco Systems, Inc.『Release Notes for Cisco Identity Services Engine, Release 3.3』（2023年7月5日公開、2026年10月27日更新）
- ［13］Cisco Systems, Inc.『Release Notes for Cisco Identity Services Engine, Release 3.4』（公開日不明、2026年10月27日更新、2026年11月7日閲覧）
- ［14］Cisco Systems, Inc.『Release Notes for Cisco Identity Services Engine, Release 3.5』（公開日不明、2026年10月27日更新、2026年11月7日閲覧）
- ［15］Cisco Systems, Inc.『End-of-Sale and End-of-Life Announcement for the Cisco Identity Services Engine Passive Identity Connector (ISE-PIC)』（2025年5月5日公開、2025年5月6日更新）
- ［16］Cisco Systems, Inc.『Cisco Identity Services Engine』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年6月19日：公開した。
- 2026年7月6日：Cisco Systemsのアドバイザリの7月6日の改訂（Version 1.2、出典1）と日本語版（出典2）で加わった3.1と3.2の修正版を「対象の製品と版」に、改訂の日を「時系列」に加えた。
- 2026年7月30日：シンガポールのCSAの警報の7月30日の更新版（出典6）で、「修正と回避策」の警報の記述を改めた。
- 2026年8月13日：ZDIのアドバイザリZDI-26-579とZDI-26-580（出典9、10）を加え、脆弱な処理とCVSSの評価を「脆弱性の内容」に、報告と公開の日を「時系列」に加えた。
- 2026年9月25日：NVDの記録の9月25日の更新（出典5）で、KEVへの追加の日付が無いことを「悪用の状況」に加えた。
- 2026年10月27日：Ciscoのリリースノート3.3、3.4、3.5の10月27日の更新版（出典12、13、14）を加え、修正版の一般提供の日を「時系列」に加えた。