Cisco IOS XRにCVSS 9.8、回避策なしでSMU適用が必要

Ciscoは2026年9月4日、IOS XR Softwareで見つかった7件の脆弱性をまとめたセキュリティ勧告をバージョン1.3へ更新した。Ciscoの公式セキュリティ勧告 は、最大CVSS基本値を9.8とし、IOS XR7（LNT）を含む全リリースが機器の構成にかかわらず影響を受けると明記している。有効な回避策はなく、既存環境では対応リリースへの更新と適切なSoftware Maintenance Upgrade（SMU）の適用が基本となる。

勧告は9月2日に初版が公開され、9月4日の更新で置き換えられたSMUとリリース26.1.2、26.2.1向けの記述が整理された。9月4日付の TechRadar Proの報道 も、7件のうちCVE-2026-20274とCVE-2026-20279がCVSS 9.8であること、全リリースが対象で回避策がないことを伝えている。公開時点で悪用は把握されていない。

7件は脆弱性クラス別、2件がCVSS 9.8

今回の7件は、内部テストで見つかった複数の問題を共通する脆弱性クラス（CWE）ごとにまとめ、それぞれにCVEを割り当てたものだ。各CVSS値は、そのグループに含まれる問題のうち潜在的な影響が最も大きいものを基準としている。

• CVE-2026-20274：CVSS 9.8 — リソースのライフサイクル管理不備。バッファオーバーフロー、境界外読み書き、解放後使用などを含む。
• CVE-2026-20279：CVSS 9.8 — アクセス制御の不備。証明書検証、認証、認可に関する問題を含む。
• CVE-2026-20275、CVE-2026-20278、CVE-2026-20280：CVSS 8.8 — 計算処理、入力の無害化、例外条件の処理に関する不備。
• CVE-2026-20276：CVSS 8.6 — 制御フロー管理の不備。
• CVE-2026-20277：CVSS 8.2 — 保護機構の不備。

9.8の評価には、ネットワーク経由で攻撃でき、攻撃条件の複雑さが低く、事前権限や利用者操作を必要としない条件が反映されている。ただし、勧告は機能ごとの具体的な攻撃手順を公開していないため、すべての機器で同じ攻撃経路が成立するとまでは判断できない。

全リリース対象でも必要なSMUは機種と機能で変わる

対象判定は、IOS XR Softwareの全リリースが影響を受けるという前提から始める。任意機能を無効にしていることや、機器がインターネットへ直接公開されていないことだけでは、今回の勧告全体の対象外とはならない。IOS XR7（LNT）の稼働状況は、CLIの「show version」出力に「LNT」が含まれるかで確認できる。

一方、適用するSMUは一律ではない。機能別の表には、BGP、crypto-ike、gRPC、IP-SLA、IS-IS、MPLS、MPLS-TE、Multicast、OSPF、Segment Routing、TCP Authentication Option、Zero Touch Provisioningなどが並び、リリースとプラットフォームごとに識別子や例外が指定されている。「Not vulnerable」という記載も、その機能領域に限定した判定であり、リリース全体が7件すべての影響を免れるという意味ではない。

SMU識別子はCisco Bug IDとは別の識別子で、すべてのSMUが全機種や全リリースに適用できるわけではない。特にIOS XR7（LNT）には全プラットフォーム向けの項目があるため、リリース番号だけでなく、機種、CPUアーキテクチャ、稼働機能まで照合する必要がある。

提供済み、提供予定、将来の固定版を分ける

9月4日時点の系統別状況は、Secure ISSの整理 でも公式表と同じ区分が示されている。SMUを利用できるリリースと、今後の提供を待つリリース、SMUを必要としない将来の固定版を混同しないことが重要だ。

SMU提供済みのリリースは次の通りとなる。

• 7.3：7.3.2（光伝送用のNCS 1002のみ）
• 7.9：7.9.2、7.9.21
• 7.10：7.10.2
• 7.11：7.11.2、7.11.21
• 24.2：24.2.2、24.2.21
• 24.4：24.4.2
• 25.2：25.2.21
• 25.4：25.4.1（光伝送用）、25.4.2（非光伝送用）
• 26.1：26.1.2
• 26.2：26.2.1

25.4.1向けSMUは、光伝送用のNCS 1001、NCS 1004、NCS 1010に限定される。同じリリース番号でも、別のプラットフォームへ適用できるとは限らない。

SMU提供予定は24.1.2、24.3.2、25.1.2、25.2.2である。表にないリリースでSMUが必要な場合は、Cisco Technical Assistance Center（TAC）または契約先のサポート組織への問い合わせが必要になる。

SMUを必要としない最初の固定版は26.2.2と26.3.1だが、いずれも9月4日時点では将来リリースである。現在利用可能な修正版として扱うことはできず、公開を待てない環境ではSMU提供済みのリリースへ更新したうえで、対象機能に合うSMUを適用することになる。

回避策がない環境での変更管理

アクセス制御の強化や管理面の露出削減は補助的な防御になり得るが、今回の7件を修正する回避策ではない。変更計画では、資産台帳だけに頼らず実機情報を取得し、リリース、プラットフォーム、稼働機能の順に適用条件を絞り込む必要がある。

1. 各機器で「show version」を取得し、IOS XRのバージョン、LNTの有無、プラットフォームを記録する。
2. BGP、OSPF、IS-IS、MPLS、Segment Routing、gRPCなど、勧告に掲載された機能領域の使用状況を機器ごとに確認する。
3. 現在のリリースを「SMU提供済み」「SMU提供予定」「対応リリースへの更新が必要」に分類する。
4. 機能別のSMU識別子、対象プラットフォーム、置き換え済みSMUの有無を照合する。
5. 必要メモリー、ハードウェアと設定の互換性、冗長構成での切り替え、停止時間、ロールバック条件を事前に検証する。
6. 適用後にソフトウェア状態、プロセス、隣接関係、経路収束、サービス疎通を確認する。

バージョン1.3では一部のSMU識別子が更新されているため、9月2日または3日の情報を基に作成した変更票は再照合が必要だ。ダウンロード権限と対象リリースの保守可否も、作業開始前に確定しておく必要がある。

悪用未確認でも更新優先度は高い

脆弱性は既存の試験プロセスと先端AIモデルを使った内部セキュリティテストで発見された。公開時点で公表済みの攻撃情報や悪意ある利用は把握されていないが、これは攻撃可能性が否定されたことを意味しない。

優先度を押し上げるのは、最大CVSS 9.8、全リリースが対象、有効な回避策なしという条件の組み合わせだ。現時点では、提供済みSMUを適用するか、SMUを利用できるリリースへ移行してから適用する必要がある。24.1.2、24.3.2、25.1.2、25.2.2向けSMUと、SMU不要の26.2.2、26.3.1は今後の公開対象であり、それまでは最新版の機能別表を変更計画へ反映することが運用上の焦点となる。