Network management vulnerabilities

攻撃者は、企業のインフラを制御するために使用される管理システムを標的とするケースが増加しており、ベンダーが脆弱性を公表する前、あるいは公表直後に、いくつかの重大な脆弱性が積極的に悪用されています。

このことは、ネットワーク機器、サーバー、ファームウェア、チップ、その他のインフラに影響を与えるセキュリティアドバイザリを追跡する月次レポートである、Eclypsium社の『InfraTrust Pulse』9月号で報告された。

8月25日から9月17日までの期間、InfraTrustは17社のベンダーにわたる158件の新規セキュリティアドバイザリを追跡し、これらは1,699件の脆弱性を網羅していました。

これらのアドバイザリのうち、42件が「重大」と評価され、8件はCVSSスコアが最大10.0、71件は認証なしでリモートから悪用される可能性があった。

公表されたアドバイザリのうち5件には、最終的にCISAの「既知の悪用済み脆弱性（KEV）」カタログに掲載された脆弱性が含まれていました。

しかし、InfraTrustによると、今月の特に顕著な傾向の一つは、最も危険な脆弱性の多くがどこで発生しているかという点にあるという。

攻撃者は、ネットワークデバイスの設定や制御に使用される管理システムへの侵入をますます増やしており、これによりハッカーは侵害されたデバイスを完全に制御できるようになっている。

「インフラストラクチャにおいて、悪用された脆弱性の中で最も深刻度の高いものが管理ソフトウェアに存在したのは、これで2ヶ月連続である。したがって、これらのプラットフォームを重要な標的として扱い、それに応じてパッチを適用し、監視し、セキュリティを強化する必要がある」と報告書には記されている。

標的とされるインフラ管理システム

本レポートで取り上げられた最も深刻な脆弱性の1つは、CVE-2026-20079であり、これはCisco Secure Firewall Management Center（FMC）における最大深刻度の認証バイパス脆弱性です。

この脆弱性により、認証されていない攻撃者がFMCのWebインターフェースに細工されたHTTPリクエストを送信し、脆弱なデバイス上でroot権限でスクリプトやコマンドを実行することが可能になる。

シスコは9月9日、この脆弱性が実際に悪用されていることを確認し、製品セキュリティインシデント対応チーム（PSIRT）が8月にこれらの攻撃を把握していたことを明記するようアドバイザリを更新した。CISAも同日、この脆弱性を「既知の悪用済み脆弱性（KEV）」カタログに追加した。

しかし、7月29日の 報道によると、シスコはすでにCVE-2026-20079に関するアドバイザリを更新しており、そこにはホットフィックスに加え、別のFMCの脆弱性であるCVE-2026-20316を悪用した攻撃にも関連する侵害の兆候（IoC）が含まれていた。

当時、シスコは、両方の脆弱性に対して同じ `/var/tmp/license.tmp` という侵害の兆候を公開していたにもかかわらず、CVE-2026-20079 が悪用されている事実は把握していないと述べていた。

その後、これら2つのFMCの脆弱性が攻撃において連鎖的に利用されていたことが確認された。

Cisco Talosは、この活動をUAT-12197、UAT-11823、およびUAT-11988として追跡されている3つの脅威クラスターと関連付けました。これらには、国家支援型の攻撃者やランサムウェア集団が含まれています。

攻撃者は、FMCに組み込まれたツールを使用して偵察を行い、トンネリングユーティリティを展開し、侵害されたシステムから認証情報を収集し、場合によっては最終的にQilinランサムウェアの暗号化モジュールを展開していることが確認された。

また、ソフォスのカウンター・スレット・ユニット（CTU）は、侵害されたFMCアプライアンスから回収された「timezone_check」という名前のLinuxインプラントを分析し、これを、以前サンドワーム（Sandworm）脅威グループに関連付けられていたマルウェア「Cyclops Blink」の亜種であると特定しました。

シスコは9月16日、FMCが管理対象のファイアウォールと通信するために使用するsftunnel接続に影響を与える欠陥を含め、さらに6つのFMCの脆弱性を別途公表した。

別の管理プラットフォームであるCisco Identity Services Engine（ISE）も、複数の重大な脆弱性の影響を受けました。

シスコは 9 月 16 日、ISE に関するアドバイザリを公開し、その中には CVSS スコアが最大 10.0 の脆弱性が 3 件含まれていました。

そのうちの1つであるCVE-2026-76460は、APIにおける認証バイパスであり、認証されていないリモート攻撃者がroot権限でコマンドを実行することを可能にするものです。

CISAは、この脆弱性がすでに攻撃に悪用されていたため、シスコが公表した同日にKEVカタログに追加しました。

シスコによると、回避策は存在しないものの、インフラストラクチャ・アクセス制御リスト（ACL）を使用してアプライアンスへのアクセスを制限することで、リモートからの悪用を防ぐことは可能である。

InfraTrustによると、この傾向はシスコにとどまらないという。

9月の報告期間中、脆弱性の影響を受けた製品には、HPE Fabric Composer、EdgeConnect SD-WAN Orchestrator、NVIDIA Unified Fabric Manager、Dell SmartFabric Manager、SonicWall NSM On-Prem、およびAristaの管理インターフェースも含まれていました。

「これらはいずれも、ファイアウォール、スイッチ、ルーター、ファブリックではありません」と報告書は述べている。

「いずれも、それらを構成し、認証情報を保持し、それらすべてへの変更管理パスを一括して提供するコンソールである。」

さらに深刻なインフラの脆弱性

また、このレポートでは、攻撃において連鎖的に悪用された、現在も活発に悪用されているSonicWall SMA 1000の2つの脆弱性についても取り上げている。

CVE-2026-83548は、Appliance Work PlaceインターフェースにおけるCVSS 10.0の認証不要なサーバーサイドリクエストフォージェリー（SSRF）の脆弱性であり、CVE-2026-83549は、Appliance Management ConsoleにおけるOSコマンドインジェクションの脆弱性である。

InfraTrustによると、これらの脆弱性を連鎖させることで、認証不要のリモートコード実行が可能になるという。

CISAは9月2日にこれらの脆弱性をKEVカタログに追加しており、SonicWallはこれらが攻撃で悪用されていることを確認しています。

同社は、顧客に対し、最新のホットフィックスへのアップグレード、システムへの侵害の兆候の調査、および侵害されたインストール環境をその場で修復しようとするのではなく、物理アプライアンスのイメージを再構築するか、仮想アプライアンスを再展開することを推奨しています。

Check Pointもまた、認証を必要としない、リモートから悪用可能な3つの重大な脆弱性を公表しました。

これらには、リモートアクセスおよびサイト間VPNにおいてリモートコード実行につながる可能性のある認証バイパス脆弱性「CVE-2026-85102」、および同様にリモートコード実行につながる可能性のあるメモリ破損脆弱性「CVE-2026-85103」が含まれます。

オランダのNationaal Cyber Security Centrum（NCSC）は、攻撃が差し迫っているとして、管理者にセキュリティ更新プログラムのインストールを強く促しました。

3つ目の脆弱性であるCVE-2026-91843は、認証不要のログインプロセスにおける脆弱性であり、攻撃者が複数のCheck Point管理サーバーおよびロギングサーバー上でroot権限でコードを実行することを可能にするものです。

Aristaは9月9日、EOSシステム上で認証なしのリモートコード実行を可能にする2つの「最大深刻度」の脆弱性を含む、計34件のセキュリティアドバイザリを公開した。

CVE-2026-73453はTCPポート9559上のP4Runtimeサービスに影響を及ぼし、CVE-2026-73456はgNPSIに影響を及ぼします。

これらの機能はデフォルトで無効化されており、Aristaによると、いずれの脆弱性も悪用された事例は確認されていないとのことです。

また、InfraTrustは、CVE-2026-20212についても取り上げました。これは、Cisco Nexus 9000の重大な脆弱性であり、影響を受けるスイッチでデフォルトでアクセス可能な2つのデバッグポートを介して、認証されていない攻撃者がルート権限でのコード実行を行うことを可能にするものです。

1つのLinuxの脆弱性が19件のアドバイザリにまたがる

9月のレポートでは、サードパーティ製コンポーネントのサプライチェーン脆弱性が、インフラ製品全体でパッチ適用に関する頭痛の種となる可能性についても示されている。

InfraTrustの調査によると、「CopyFail」と呼ばれるLinuxカーネルの権限昇格脆弱性であるCVE-2026-31431は、5月にCISAのKEVカタログに追加された後、現在では6社のベンダーから発行された19件の別々のセキュリティアドバイザリに記載されていることが判明した。

Arista、F5、Juniper、Extreme Networks、およびHPE Arubaは、それぞれこの脆弱なコンポーネントを含む製品に影響を与えるアドバイザリを公開した一方、DellはVxRail、PowerFlex、ThinOS、PowerProtect、Networking OS10などの製品を対象とする14件のアドバイザリを公開している。

「1つのアップストリームの欠陥が19件の修正タスクを生み出し、それぞれが異なるベンダーのスケジュールに従い、異なるアドバイザリ番号で公開された」と、同レポートは説明している。

ファームウェアは依然として別の弱点となっている

また、本報告書では、Eclypsiumによって発見され、CERT/CCを通じて公開されたUEFIシェルのセキュアブートバイパスについても言及している。

この脆弱性により、UEFIブート設定へのアクセス権を持つ攻撃者は、通常は起動時にブロックされる組み込みのUEFIシェルを起動することが可能になる。

そこから、攻撃者はメモリ内のセキュアブート設定を変更し、オペレーティングシステムが起動する前に署名のないコードを実行することができる。

この開示により、Cisco については CVE-2026-20293、AMI Aptio ベースのシステムについては CVE-2026-33197、Insyde については CVE-2026-6485 として追跡される 3 つの脆弱性が特定された。

AMI、Dell、Cisco、Lenovo、およびSupermicroは、影響を受ける製品に対する修正プログラムをリリース、またはその予定を発表しています。