Cisco Crossworkに脆弱性4件、CVSS10が3件

Cisco Crossworkに脆弱性4件、CVSS10が3件 脆弱性・脅威情報
2026.08.24

【更新 2026-08-25】本記事を見直し、修正しました。主な修正点：CVE-2026-20359 のCVSSベクトルが PR:L（低い権限のアカウントが必要）であることを確認し、4件すべてを「認証不要」としていた記述を「CVSS 10.0 の3件が認証不要、9.9 の1件は低権限アカウントが必要」に修正。あわせて Crosswork Workflow Manager が8月21日の改訂（Version 2.0）で追加された経緯を補記しました。

結論から言います。Ciscoは2026年8月19日、ネットワーク運用自動化基盤「Cisco Crosswork」の脆弱性4件を公開しました。うち3件はCVSS基本値10.0（最大値）で、いずれも認証不要・ネットワーク経由で成立します。回避策（ワークアラウンド）はなく、対処は修正版への更新のみです。公表時点でCisco PSIRTは悪用を確認していないとしています。

問題は「自社に入っているかどうかを情シスが把握しにくい」点にあります。Crossworkはネットワーク運用チームや委託ベンダーが導入する運用基盤側の製品で、PC・サーバ中心の資産台帳からは抜け落ちがちです。まずは導入有無の確認から始めてください。

この記事でわかること

  • Cisco Crosswork とは何をする製品で、どこに置かれているのか
  • 公開された4件のCVEの内容とCVSSスコア、攻撃の前提条件
  • 影響を受けるバージョンと修正版（8月21日の改訂で追加された4製品目を含む）
  • CVSS 10.0をどう読み、自社の優先度をどう決めるか

Cisco Crosswork とは何をする製品か

Cisco Crosswork とは、ネットワーク機器から状態データ（テレメトリ）を集約し、設定変更やサービス開通・障害対応を自動化するためのネットワーク運用基盤の製品群です。多数の機器を抱える通信事業者や大規模ネットワークの運用部門（NOC）での利用が想定されています。

重要なのは配置の形です。Ciscoの管理ガイドによれば、Crosswork Network Controller がコントローラ本体として動き、Crosswork Data Gateway が機器側のテレメトリ・運用データを収集して本体へ転送する役割を担います。Data Gateway は単独インスタンスとして作成され、コントローラ本体とは地理的に離れた場所に置くことができます。つまり本社のサーバ室だけを見ていても、拠点側に置かれた収集ノードを取りこぼす構造になっています。

「うちはCiscoの自動化基盤なんて入れていない」と即断する前に、次の2点を確認してください。ネットワーク運用を外部に委託している場合、委託先が自社ネットワーク内に運用基盤を立てていることがあります。また、統合案件でネットワーク機器と一緒に納品されているケースもあります。導入有無は資産台帳ではなく、ネットワークチームと回線・保守ベンダーへの直接確認が確実です。

何が起きたのか

Ciscoが公開したアドバイザリ「Cisco Crosswork Security Hardening Release: August 2026」（cisco-sa-hardening-crosswork-UzDTU9Vh、2026年8月19日公開・8月21日最終更新）には、次の4件が含まれます。

CVE番号 脆弱性の種別 CVSS 攻撃の前提
CVE-2026-20030 SQLインジェクション（CWE-89） 10.0 認証不要・ネットワーク経由
CVE-2026-20357 重要な機能における認証の欠如（CWE-306） 10.0 認証不要・ネットワーク経由
CVE-2026-20358 ファイル名・パスの外部制御（CWE-73） 10.0 認証不要・ネットワーク経由
CVE-2026-20359 認証情報の保護が不十分（CWE-522） 9.9 低い権限のアカウントが必要・ネットワーク経由

CVSS 10.0 の3件は、攻撃者側に事前の認証情報を必要としません（CVSSベクトルの PR:N）。ただし CVE-2026-20359 だけは PR:L で、悪用には低い権限でかまわないので有効なアカウントが必要です。悪用に成功した場合、リモートでのコード実行、認証のすり抜け、パス・トラバーサルによるファイルの上書きや削除といった影響が想定されます。

影響を受けるバージョンと修正版

Cisco公式アドバイザリに記載された対象は次のとおりです。公開当初（Version 1.0）の対象は3製品で、国内報道もその時点の内容を伝えていますが、8月21日の改訂（Version 2.0）で Crosswork Workflow Manager が追加され、現在は4製品が対象です。ワークフロー自動化側だけ更新漏れになりやすいので注意してください。

製品 影響を受けるバージョン 修正版
Crosswork Data Gateway 7.2.1 以前 7.2.1-SP
Crosswork Network Controller 7.2.1 以前 7.2.1-SP
Crosswork Planning 7.2.1 以前 7.2.1-SP
Crosswork Workflow Manager 2.1.1 以前 2.1.1-SP

なお、この8月19日の公開はCiscoが事前に予告していた定例枠にあたります。予告段階の経緯はCisco 8月19日に修正版公開、ASA/FTDも対象で扱いました。当時「Crossworkとしか書かれておらず対象製品は不明」だった部分が、今回のアドバイザリで確定した形です。

CVSS 10.0は自社にとっても最優先なのか

答えは条件付きです。CVSS 10.0 は「認証不要でネットワーク経由から到達できる」前提の評価であり、Crossworkが管理セグメントに閉じていれば、実際の入口は攻撃者が社内に足場を作った後になります。インターネットに直接晒しているVPN装置とは、初動の緊急度が同じではありません。

それでも優先度を下げてはいけない理由が、CVE-2026-20359（認証情報の保護が不十分）です。この1件は低い権限のアカウントを前提としますが、運用自動化基盤は、その性質上配下のネットワーク機器へログインするための認証情報をまとめて保持しています。ここから認証情報が抜かれると、機器を1台ずつ攻略する必要がなくなり、横展開が一気に進みます。管理基盤が持つ認証情報が狙われる構図は、MLflow脆弱性が悪用中、クラウド認証情報が標的で見た流れと同じです。

優先度の判断は「CVSSの数字」ではなく、その機器が何の鍵を持っているかで決めるのが実務的です。

現場目線の課題

正直なところ、この種の更新は情シスにとって扱いにくい部類です。理由は3つあります。

  • 止められない：ネットワークの監視・自動化基盤そのものなので、更新中は可視性が落ちます。「監視が止まっている時間」を作る調整は、業務システムの再起動より合意が取りにくいのが実情です。
  • 自分たちの管理下にない：ネットワークチームや委託ベンダーの領分で、情シスからは中のバージョンが見えない。「確認してもらう」しかできないもどかしさがあります。
  • 回避策がない：今回は緩和策が提供されていないため、「パッチが当たるまでアクセス制御で凌ぐ」という定番の逃げ道が、管理セグメントの見直し以外にありません。

管理系アプライアンスが認証不要の脆弱性で狙われる流れは繰り返し起きています（NetScaler脆弱性、DoS想定が認証不要RCEに）。台帳に載らない機器ほど、事故が起きてから存在に気づくことになります。

情シスはどうすべきか

今回の実務対応は「棚卸し → バージョン確認 → 更新計画」の順です。特別なチェックリストを自作するより、公的機関の指針に沿って手順を固めるほうが、担当者が替わっても回ります。

あわせて、ベンダーへの照会は「脆弱性はありますか」ではなく「該当製品のバージョンと、修正版適用の予定日を回答してください」と回答形式を指定して依頼すると早く進みます。地道ですが、こうした照会の型を作っておくことが、次の緊急パッチのときに効いてきます。

まとめ

  1. Ciscoは2026年8月19日、Crosswork の脆弱性4件（CVSS 10.0 が3件、9.9 が1件）を公開した。CVSS 10.0 の3件は認証不要・ネットワーク経由で成立し、9.9 の1件は低い権限のアカウントを要する。いずれも回避策はない。
  2. 対象は Data Gateway / Network Controller / Planning（7.2.1以前 → 7.2.1-SP）と、8月21日の改訂で追加された Workflow Manager（2.1.1以前 → 2.1.1-SP）の4製品。
  3. 公開時点で悪用は確認されていないが、運用自動化基盤は配下機器の認証情報を集約して持つ。台帳外になりやすい製品だからこそ、まずネットワークチームと委託先への導入有無の確認を。

出典

タイトルとURLをコピーしました