Cisco SD-WAN ManagerにCVE-2026-76504——悪用確認、至急更新を

Catalyst SD-WAN Manager 脆弱性 CVE-2026-76504 とは何か

2026年9月30日、CiscoはCVE-2026-76504を公開した。対象はCisco Catalyst SD-WAN ManagerのAPIセッションベース認証管理機能に存在する認証回避の脆弱性である（出典: cve.org — CVE-2026-76504）。

技術的な根本原因はCWE-177「HTTPリクエスト内のURIエンコーディング（Hexエンコーディング）の不適切な処理」にある。Catalyst SD-WAN Managerは特定のAPIエンドポイントへのアクセスを認証ルールで制限しているが、HTTPリクエストのURIに意図的なHexエンコーディングを施すことで、この認証ルールを回避できる。

攻撃者は影響を受けるシステムのAPIに対して細工したHTTPリクエストを送信するだけで脆弱性を悪用できる可能性がある。悪用に成功すると、攻撃者は認証を回避し、admin権限でAPIにアクセスできる可能性がある。Ciscoによる共通脆弱性評価システム（CVSS 3.1）のスコアは9.8（CRITICAL）で、攻撃経路はネットワーク越し（AV:N）、攻撃の複雑さは低（AC:L）、特権不要（PR:N）、ユーザー操作不要（UI:N）と評価されており、現実的な攻撃の難易度が極めて低い（出典: NVD — CVE-2026-76504）。

さらに重要な事実として、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のKnown Exploited Vulnerabilities（KEV）カタログに掲載されている（追加日2026年9月30日）。KEV掲載は、脆弱性が実際に悪用されていることをCISAが確認したことを意味する。ただし自社が影響を受けるとは限らない。CISAの期限は米連邦機関向けで、日本企業への義務ではない。（出典: CISA KEV）。

関連記事強化学習とは？アルゴリズムから解説 ／ テキストマイニングのやり方とツールは？

CVE-2026-76504 の影響バージョンと深刻度の評価

CVE公式記録（cve.org）が列挙する影響バージョンは415件と多岐にわたる。確認できた主なバージョンを以下の表に整理する。

CVE-2026-76504 確認済みの影響バージョン（主要抜粋、出典: cve.org）

バージョン系列	影響を受けるバージョン（確認済）
20.1系	20.1.12、20.1.1.1、20.1.1
19.3系	19.3.0
19.2系	19.2.2、19.2.1、19.2.0、19.2.099、19.2.098、19.2.097
19.1系	19.1.0
19.0系	19.0.0、19.0.1a
18.4系	18.4.5、18.4.4、18.4.3、18.4.303、18.4.302
18.3系	18.3.8、18.3.7、18.3.6.1、18.3.6
18.2系	18.2.0
17.2系	17.2.10

上記は一次情報（cve.org）に明記された確認済みバージョンの抜粋であり、全415件についてはCVE公式記録を参照されたい。17.2系から20.1系まで幅広いバージョン系列に影響が及ぶ点が、この脆弱性への対応を複雑にする要因の一つである。

EPSS（悪用される確率の統計的推定）は2026年10月29日時点で約0.389（パーセンタイル約98.6）と報告されており、同種の脆弱性の中でも統計的に高い悪用可能性が示されている。ただしEPSSはあくまで確率の推定値であり、特定の環境が悪用されることを確定するものではない（出典: FIRST EPSS）。

Ciscoの公式アドバイザリ（cisco-sa-sdwan-webauth-xr8beuuU）には修正版が示されている。20.9系は20.9.10.1、20.12系は20.12.8.2、20.15系は20.15.6.1、20.18系は20.18.4.1、26.1系は26.1.2.1、26.2系は26.2.1が最初の修正版で、20.9より前の版は修正版へ移行する必要がある。Cisco運用のクラウド版（Cisco SD-WAN Cloud）はリリース20.15.605で対処済みで、利用者側の作業は不要とされている。このアドバイザリが示す回避策はなく、次節のとおり外部公開の制限が緩和策として案内されている。

Catalyst SD-WAN Manager 脆弱性 CVE-2026-76504 の影響

Catalyst SD-WAN Managerは、Cisco SD-WANの拠点ネットワークを集中管理する製品である。本脆弱性を悪用されると、認証なしの攻撃者がadmin権限でAPIにアクセスできる可能性がある。CISAはKEV上でランサムウェアでの利用状況を「Unknown」としている。

対処と期限

1. 修正版へ更新する：前節の修正版（20.9.10.1、20.12.8.2、20.15.6.1、20.18.4.1、26.1.2.1、26.2.1）以降へ更新する。Cisco公式アドバイザリ
2. 公式の回避策：Ciscoは回避策はないとしている。緩和策として、信頼できないネットワークからのアクセス制限が案内されている。詳細は公式アドバイザリを参照。
3. CISAの対処期限：2026年10月3日（米連邦機関向けで、日本企業への法的義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

• CVE.org — CVE-2026-76504: https://www.cve.org/CVERecord?id=CVE-2026-76504
• NVD（米国国立脆弱性データベース）— CVE-2026-76504: https://nvd.nist.gov/vuln/detail/CVE-2026-76504
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog