Ciscoは2026年8月19日、ゼロトラスト向けのワークロード保護製品「Cisco Secure Workload」に脆弱性5件を公表しました。うち CVE-2026-20315（アクセス制御の不備）と CVE-2026-20317（認証の不備）はCVSS 10.0、つまり評価の最大値です。回避策は提供されておらず、対処はアップデートのみです。
悪用は確認されていません。Cisco自身の内部レビューで発見された、いわゆる「ハードニングリリース」です。ただし油断できないのは対象範囲で、更新が必要なのはクラスタだけでなく、各サーバに配ったエージェントとコネクタも含みます。SaaS版を利用していてもクラスタ以外は自社の作業です。
この記事でわかること
- Cisco Secure Workloadとは何をする製品で、どこに入り込んでいるのか
- 公表された5件のCVEと、影響バージョン・修正版（一次情報ベース）
- なぜCVSS 10.0という評価になるのか、その読み方
- SaaS版でも自社作業が残るという、見落としやすい落とし穴
- 同時公開されたCisco Crosswork側の脆弱性4件
Cisco Secure Workloadとは何者か
Cisco Secure Workloadとは、サーバやコンテナといった「ワークロード」単位で通信を細かく制御し、侵入後の横展開を封じ込めるマイクロセグメンテーション製品です。ゼロトラストの実装手段として、データセンターやクラウド基盤を持つ組織のインフラ担当・セキュリティ担当が導入します。
ここが「自分ごと」の分かれ目です。この製品名に心当たりがなくても、次の2点に該当すれば対象になり得ます。
- 旧称は「Cisco Tetration」です。Ciscoの製品資料でも「Cisco Secure Workload（formerly Tetration）」として案内されており、社内の資産台帳や契約書には旧称のまま載っている可能性があります。
- 実際の遮断はエージェントが担います。Ciscoの製品資料によれば、ワークロードのOS上に導入したエージェントがOS標準のファイアウォール機能（Linuxのiptables／IPセット、WindowsのWindows Filtering Platform等）を操作してポリシーを適用します。つまり、対象となるサーバやVMの一台一台にソフトウェアが常駐している状態です。
「Ciscoの箱を買った覚えはない」では該当を否定できません。仮想マシン・ベアメタル・コンテナのいずれにもエージェントが入り得るため、まずは管理コンソールにログインしてソフトウェアバージョンと配布済みエージェントの一覧を確認するのが最短の該当判定です。運用を外部に委託している場合は、委託先に同アドバイザリへの対応状況を照会してください。
何が起きたのか
Ciscoのアドバイザリ（cisco-sa-hardening-csw1-shSvndWP、2026年8月19日公開）で公表されたのは次の5件です。
| CVE | 種別 | CVSS v3.1 |
|---|---|---|
| CVE-2026-20315 | アクセス制御の不備（認可・認証・権限のバイパスを含む） | 10.0 |
| CVE-2026-20317 | 認証の不備（認証の欠落・バイパス・信頼できない入力への依存） | 10.0 |
| CVE-2026-20231 | 特殊要素の無害化不備（コマンド／OS／引数インジェクション） | 9.9 |
| CVE-2026-20318 | 入力検証の不備（パストラバーサル・外部からのパス制御を含む） | 9.6 |
| CVE-2026-20319 | メモリバッファ処理の不備（オーバーフロー・境界外書き込み） | 7.5 |
注意したいのは、Ciscoがこの種のハードニングリリースでは「同じ原因に由来する複数の欠陥」をひとつのCVEにまとめている点です。CVEの件数がそのまま修正された欠陥の数ではありません。個別の攻撃経路（どのAPI、どのパラメータか）も公表されていないため、「この機能だけ止めれば当面しのげる」という自作の緩和策を組み立てることができません。Ciscoも「回避策はない」と明記しています。
影響を受けるバージョンと修正版
| 対象 | 修正版 |
|---|---|
| 3.10 およびそれ以前 | 3.10.9.1 |
| 4.0 | 4.0.4.16 |
アドバイザリはSaaS版・オンプレミス版の双方が対象としたうえで、クラスタ・エージェント・コネクタのすべてを更新する必要があると述べています。SaaS版の利用者についてはクラスタ側をCiscoがすでに更新済みで、残るエージェントとコネクタの更新は利用者の作業です。
なぜCVSS 10.0になるのか
CVSS v3.1で基本値が10.0に到達するのは、ネットワーク越し・攻撃条件が低い・権限不要・利用者の操作不要で、機密性・完全性・可用性がいずれも「高」に影響し、かつ影響が脆弱なコンポーネントの外側にまで及ぶ（Scope: Changed）と評価された場合に限られます（CVSSの読み方はこちら）。逆に言えば、10.0という数字自体が「その製品の中だけで話が終わらない」という評価を意味します。
想定されるリスク：守り手が乗っ取られる構図
Secure Workloadは、環境内のワークロードをくまなく可視化し、各サーバのファイアウォールを中央から書き換えられる立場にあります。この管理面を奪われた場合に起きうるのは、単なる一製品の侵害ではありません。
- 遮断ルールを緩められる：横展開を止めるために入れた仕組みが、逆に横展開の通り道を開ける道具になります。
- 可視性を失う：通信の観測・記録を担う基盤が信用できなくなると、「異常が見えない」のか「異常がない」のかを区別できなくなります。
- 広範な足がかりになる：全ワークロードにエージェントが常駐しているため、管理側からの到達範囲が広くなります。
セキュリティ製品は役割上どうしても高い権限と広い到達範囲を持ちます。最小権限の原則を製品自身にも当てはめ、管理コンソールのアクセス元制限・管理者の多要素認証・監査ログの外部保全という「製品の外側」の守りも点検しておきたいところです。
現場目線の課題
正直なところ、このアドバイザリで一番重いのは脆弱性の中身ではなく「エージェントを全台上げる」という作業そのものです。クラスタは計画停止を取れば済みますが、エージェントは業務サーバの上で動いています。止められないサーバ、担当部署が別のサーバ、そもそも持ち主が分からないサーバが必ず出てきて、「クラスタは上げた。エージェントは追い追い」で止まる——見覚えのある光景ではないでしょうか。
もうひとつがSaaSだから任せきりでよい、という思い込みです。クラウド側が自動更新されても、自社環境に置いた部品は手動更新が残る。この構図はEntra Connectの権限昇格脆弱性で手動更新が必須になった件と同じです。「更新の責任分界点はどこか」を製品ごとに書き出しておかないと、同じ取りこぼしを繰り返します。
同時に公開されたCisco Crossworkの脆弱性4件
同じ8月19日、ネットワーク運用基盤「Cisco Crosswork」でも4件が公表されました（cisco-sa-hardening-crosswork-UzDTU9Vh）。こちらも回避策はなく、悪用は確認されていません。
| CVE | 種別 | CVSS v3.1 |
|---|---|---|
| CVE-2026-20030 | SQLインジェクション（CWE-89） | 10.0 |
| CVE-2026-20357 | 重要な機能に対する認証の欠如（CWE-306） | 10.0 |
| CVE-2026-20358 | ファイルシステムの外部制御（CWE-73） | 10.0 |
| CVE-2026-20359 | 認証情報の保護が不十分（CWE-522） | 9.9 |
対象は Crosswork Data Gateway／Network Controller／Planning の 7.2.1 以前（修正版 7.2.1-SP）と、Crosswork Workflow Manager の 2.1.1 以前（修正版 2.1.1-SP）です。
なお本サイトでは、この一斉公開をCiscoの事前通知（8月19日公開予定）の段階で取り上げていました。本記事は、実際に公開された中身が判明した続報にあたります。
情シスはどうすべきか
やることは多くありません。該当の有無を確認し、クラスタ・エージェント・コネクタを漏れなく上げる、これに尽きます。回避策がない以上、優先度の判断材料は「管理コンソールが誰から到達できる位置にあるか」です。インターネットからの到達性がある構成なら最優先で扱ってください。体制面は自前でチェックリストを増やすより、公的な指針を土台にしたほうが社内説明も通りやすくなります。
- IPA 中小企業の情報セキュリティ対策ガイドライン：資産の把握と更新管理の基本的な進め方
- IPA セキュリティインシデント対応 机上演習教材：「守りの基盤が侵害されたら」を演習として回すのに使える
まとめ
- Cisco Secure Workloadに脆弱性5件。CVE-2026-20315とCVE-2026-20317はCVSS 10.0で、回避策はない。修正版は 3.10.9.1 と 4.0.4.16。悪用は未確認で、内部レビューによる発見。
- SaaS版でも作業は残る。クラスタはCiscoが更新済みだが、エージェントとコネクタの更新は利用者側の責任範囲。
- 旧称「Tetration」で台帳に載っている可能性を含めて所在を確認する。エージェントは各サーバのOS上に常駐しているため、該当範囲は想像より広い。
出典
- Cisco Security Advisory: Cisco Secure Workload Software Security Hardening Release: August 2026（2026年8月19日公開）
- Cisco Security Advisory: Cisco Crosswork Security Hardening Release: August 2026（2026年8月19日公開、8月21日更新）
- Cisco Advance Notification for Publication of August 19, 2026, Security Advisories
- Cisco Secure Workload Platform Data Sheet（製品概要・エージェントによるポリシー適用）
- Cisco Secure Workload (formerly Tetration) FAQ（旧称に関する記載）
- Security NEXT「Cisco Secure Workload」に複数の深刻な脆弱性 – 修正版を提供（2026年8月20日）
