シスコ、IOS XRソフトウェアにおける深刻度Highの脆弱性4件にパッチ（CVE-2026-20040他）

シスコ、IOS XRソフトウェアにおける深刻度Highの脆弱性4件にパッチ（CVE-2026-20040、CVE-2026-20046他）

SecurityWeek – March 12, 2026

シスコは3月11日、IOS XRソフトウェアに関する半年に一度のセキュリティアドバイザリバンドルを公開。これには、深刻度の高い脆弱性4件に関する3件のアドバイザリが含まれている。

修正された脆弱性のうち最も深刻度が高いのはCVE-2026-20040およびCVE-2026-20046で、CVSSスコアはいずれも8.8。これらの脆弱性は、認証されたローカルの攻撃者に悪用された場合、基盤となるOS上で任意コマンドをrootとして実行することや、影響を受けるデバイスの完全な管理者制御権を取得することが可能になる恐れがあるとされる。

• CVE-2026-20040：Cisco IOS XRソフトウェアのCLIにおける権限昇格の脆弱性。特定のCLIコマンドに渡されるユーザー引数の検証が不十分なことに起因する問題で、権限の低い攻撃者はプロンプトで巧妙に細工されたコマンドを使用することにより、この脆弱性を悪用できる可能性がある。悪用が成功した場合、攻撃者は権限をrootへ昇格させ、基盤となるOS上で任意のコマンドを実行できるようになる恐れがあるとされる。

• CVE-2026-20046：Cisco IOS XRソフトウェアのCLIにおける権限昇格の脆弱性。ソースコード内のタスクグループへのコマンドのマッピングが不適切なことに起因する問題で、低い権限のアカウントを持つ攻撃者は、CLIコマンドを使用してタスクグループベースのチェックをバイパスすることにより、この脆弱性を悪用できる可能性がある。悪用が成功した場合、攻撃者は権限を昇格させ、権限チェックを行わずに該当デバイスでアクションを実行できるようになる恐れがあるとされる。

上記2件のほか、シスコは以下の深刻度の高い脆弱性のパッチもリリースしている。

• CVE-2026-20074（CVSSスコア 7.4）：Cisco IOS XRソフトウェアのMulti-Instance Intermediate System-to-Intermediate SystemにおけるDoS脆弱性。入力 IS-IS パケットの不十分な入力検証に起因する問題で、認証されていない攻撃者は隣接関係を形成した後、巧妙に細工されたIS-ISパケットを該当デバイスに送信することで、この脆弱性を悪用できる可能性がある。悪用が成功した場合、IS-ISプロセスを再起動させてDoS状態を引き起こすことができるようになる恐れがあるとされる。

• CVE-2026-20118（CVSSスコア 6.8）：Cisco IOS XR出力パケットネットワークインターフェイスアライナーの割り込みによるDoS脆弱性。該当デバイスで、大量のトランジットトラフィックが発生しているときにEPNI Alignerの割り込みがトリガーされる特定のケースでパケットが破損することに起因する。攻撃者は、該当デバイスのインターフェイスに巧妙に細工されたパケットの連続フローを送信することにより、この脆弱性を悪用できる可能性がある。悪用が成功した場合、攻撃者はパケットを大量に持続的に損失させ、その結果DoS状態が発生する恐れがあるとされる。

シスコによれば、現時点で上記いずれかの脆弱性が実際の攻撃に悪用された認識はないとのこと。

Veeam、VBRにおけるCriticalなRCE脆弱性などについて警告（CVE-2026-21666、CVE-2026-21667他）

BleepingComputer – March 12, 2026

Veeam Softwareは3月12日、Veeam Backup & Replication（VBR）における複数の脆弱性に対するパッチをリリース。これには、深刻度が「Critical」と評価されるリモートコード実行（RCE）の脆弱性が数件含まれる。

バージョン12.3.2.4465で修正されたのは、以下の5件。

• CVE-2026-21666（Critical、CVSS v3.1スコア 9.9）：認証されたドメインユーザーによるBackup Serverでのリモートコード実行を可能にする恐れがある脆弱性。

• CVE-2026-21667（Critical、CVSS v3.1スコア 9.9）：認証されたドメインユーザーによるBackup Serverでのリモートコード実行を可能にする恐れがある脆弱性。

• CVE-2026-21668（High、CVSS v3.1スコア 8.8）：認証されたドメインユーザーによるBackup Repositoryでの制限のバイパスおよび任意のファイルの改ざんを可能にする恐れがある脆弱性。

• CVE-2026-21672（High、CVSS v3.1スコア 8.8）：WindowsベースのVBRサーバー上でのローカル権限昇格を可能にする恐れのある脆弱性。

• CVE-2026-21708（Critical、CVSS v3.1スコア 9.9）：Backup Viewerによる、postgresユーザーとしてのリモートコード実行を可能にする恐れがある脆弱性。

バージョン13.0.1.2067で修正されたのは、以下の5件。

• CVE-2026-21669（Critical、CVSS v3.1スコア 9.9）：認証されたドメインユーザーによるBackup Serverでのリモートコード実行を可能にする恐れがある脆弱性。

• CVE-2026-21670（High、CVSS v3.1スコア 7.7）：低い権限のユーザーによる、保存されたSSH認証情報の抽出を可能にする恐れがある脆弱性。

• CVE-2026-21671（Critical、CVSS v3.1スコア 9.1）：Backup Administratorロールを持つ認証されたユーザーによる、VBRの高可用性（HA）デプロイメントでのリモートコード実行を可能にする恐れがある脆弱性。

• CVE-2026-21672（High、CVSS v3.1スコア 8.8）：WindowsベースのVBRサーバー上でのローカル権限昇格を可能にする恐れがある脆弱性。

• CVE-2026-21708（Critical、CVSS v3.1スコア 9.9）：Backup Viewerによる、postgresユーザーとしてのリモートコード実行を可能にする恐れがある脆弱性。

Veeamは、パッチリリース後まもなく脅威アクターらによるエクスプロイト開発が始まるケースが多いことを踏まえ、ソフトウェアを最新リリースへ可及的速やかにアップグレードするよう管理者に推奨している。

VBRの過去の脆弱性は、FIN7やCubaランサムウェアグループ、Fragランサムウェア、Akiraランサムウェア、Fogランサムウェアなどの攻撃で悪用されていたことが知られている。

【Eブック無料配布中：Codebook 2025 ~サイバーセキュリティ分析レポート~】

Codebookの記事が、Eブックになりました。サイバーセキュリティの2025年を振り返る本書では、昨年1年間を通じてCodebookで発信した重要なニュースの数々とそこから得られる教訓や知見を、弊社インテリジェンスアナリストの見解とともに紐解いていきます。

無料ダウンロードはこちらから：

その他の無料配布中レポート

地政学レポート

【最新版】インテリジェンス要件定義に関するガイドブック

OSINT関連レポート

ディープ＆ダークウェブレポート