Cisco UCS CentralにCVE-2026-76506――認証済み攻撃でコード実行の恐れ

CVE-2026-76506 とは――Cisco UCS Central Software のパストラバーサル脆弱性

2026年11月4日、Cisco Systems はセキュリティアドバイザリを公開し、Cisco Unified Computing System（UCS）Central Softwareのウェブベース管理インターフェースに深刻な脆弱性が存在することを明らかにした（出典: CVE-2026-76506 — cve.org、2026年11月4日公開・同5日最終更新）。

脆弱性の種別は CWE-22「パストラバーサル（Improper Limitation of a Pathname to a Restricted Directory）」であり、CVSS 3.1 スコアは 7.6（HIGH）と評価されている（評価者: Cisco CNA、ベクター: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L）。

原因は、管理インターフェースが受け付けるHTTPリクエスト内のユーザー提供入力に対する検証が不十分な点にある。攻撃者は細工したHTTPリクエストを対象エンドポイントへ送信することで、この欠陥を突くことができる。攻撃の前提条件として、攻撃者が影響を受けるデバイス上の有効なユーザー資格情報を保持していることが必要である。

関連記事Cisco Secure Emailの脆弱性は悪用済み？ ／ Cisco ASA・FTDのSSL VPN、自社は対象？

影響を受ける Cisco Unified Computing System Central Software のバージョン

CVE公式記録（cve.org、Cisco CNA採番）が影響を受けると明示しているバージョンは次のとおりである。対象はすべて2.0系および2.1系に属しており、2.0(1a)から2.0(1w)を含む複数のマイナーリビジョンに加え、2.1(1a)が列挙されている。

CVE-2026-76506 の影響バージョン一覧（cve.org 掲載情報、2026年11月5日時点）

メジャー系列	影響を受けるバージョン（確認済み）	備考
2.0系	2.0(1a) / 2.0(1b) / 2.0(1c) / 2.0(1d) / 2.0(1e) / 2.0(1f) / 2.0(1g) / 2.0(1h) / 2.0(1i) / 2.0(1j) / 2.0(1k) / 2.0(1l) / 2.0(1m) / 2.0(1n) / 2.0(1o) / 2.0(1p) / 2.0(1q) / 2.0(1r) / 2.0(1s) / 2.0(1t) / 2.0(1u) / 2.0(1v) / 2.0(1w)	cve.org 記録では追加4件が省略されている
2.1系	2.1(1a)	cve.org 記録に明示

CVE記録では一部バージョンが「省略」と記されており、上表は公開情報の範囲に限られる。正確な影響範囲は必ずCisco公式セキュリティアドバイザリ（cve.org）およびNVD（NIST）の最新掲載内容で確認すること。

Cisco Unified Computing System Central Software 脆弱性 CVE-2026-76506 が日本の運用現場に意味すること

UCS Central Software はデータセンター規模で複数のUCSドメインを統合管理するためのソフトウェアである。

CVSS 3.1 スコアの内訳を見ると、攻撃経路は「ネットワーク（AV:N）」、攻撃の複雑さは「低（AC:L）」と評価されており、前提条件として、攻撃者が影響を受けるデバイス上の有効なユーザー資格情報を保持していることが必要である。

EPSS（Exploit Prediction Scoring System）による悪用確率の統計的推定値は 0.013630（パーセンタイル 0.71884、2026年11月5日時点）とされている。この値は現時点で突出して高いわけではないが、EPSSはあくまで統計的推定であり、将来の悪用を保証するものでも否定するものでもない（出典: cve.org CVE-2026-76506）。

CISAのKEV（Known Exploited Vulnerabilities）カタログへの掲載は、2026年11月5日時点では確認されていない。したがって「野外での積極的な悪用が確認されている」とは現時点では言えない。ただし、KEV未掲載は安全を意味しない。

悪用に成功すると、任意のコマンドの実行、ファイルシステムへの任意ファイルの書き込み、機密情報の取得が可能になる。

Cisco Unified Computing System Central Software 脆弱性 CVE-2026-76506 への対応方針

Cisco は本脆弱性に対応するソフトウェア更新をリリースしている。この脆弱性に対応する回避策は存在しない（Cisco公式告知より）。したがって、現在取れる唯一の有効な手段は、Cisco が提供する修正済みバージョンへの更新である。

今やることは次のとおりである。影響を受ける版のUCS Central Softwareを使っている場合は、Cisco公式告知が示す修正版へ更新する。この脆弱性に対応する回避策は存在しないため、修正版が入手できない場合はCisco公式告知の内容に従う。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-76506 — CVE.org（Cisco CNA採番、2026年11月4日公開・同5日最終更新）
• CVE-2026-76506 — NVD（National Vulnerability Database, NIST）