Cisco Secure Workloadの重大脆弱性CVE‑2026‑20223とは何か

概要：CVE‑2026‑20223とは

Ciscoが2026年5月に公開した「CVE‑2026‑20223」は、ワークロード保護製品 Cisco Secure Workload（旧Cisco Tetration） に存在する重大なセキュリティ脆弱性です。問題は内部REST APIのアクセス検証処理にあり、未認証のリモート攻撃者がサイト管理者レベルの権限でリソースへアクセスできる可能性があります。

この脆弱性は、APIエンドポイントへのアクセス時に認証や検証が十分に行われない設計上の問題に起因します。攻撃者は特別なアカウントやローカルアクセスを持たなくても、細工されたAPIリクエストを送信するだけで悪用できる可能性があります。

攻撃が成功した場合、機密情報の読み取りや設定変更など、管理者権限に近い操作が可能になる恐れがあります。

---

攻撃の仕組み：未認証REST APIリクエスト

今回の問題の核心は、Secure Workloadが内部で使用するREST APIのアクセス検証です。

通常、管理機能を持つAPIエンドポイントには以下のような保護が必要です。

• ユーザー認証
• 権限チェック
• リクエストの適切な検証

しかしCVE‑2026‑20223では、これらのチェックが十分に行われていないエンドポイントが存在します。結果として、攻撃者は以下の手順で悪用できる可能性があります。

• 外部から対象APIエンドポイントへリクエストを送信
• 認証を経ずに内部API処理が実行される
• サイト管理者（Site Admin）レベルの権限でリソースにアクセス

このため、認証情報がなくても遠隔から攻撃できる点が特に危険視されています。

---

なぜCVSSスコアは最大の10.0なのか

CVE‑2026‑20223はCVSS v3.1で 10.0（Critical） と評価されています。

この評価には、次の要因が関係しています。

• ネットワーク経由で攻撃可能
• 認証不要
• 攻撃の複雑さが低い
• 機密性・完全性への重大な影響

さらに、Secure Workloadは複数テナントや環境を分離して管理する製品であるため、**別のテナント領域へ影響が及ぶ可能性（Scope Changed）**が指摘されています。これはセキュリティ境界を越えて影響が広がるケースで、CVSS評価を最大値に押し上げる要因となります。

---

影響を受ける可能性のある環境とアップデート

Ciscoはこの問題を修正したソフトウェアアップデートを公開しています。

主な修正版は次のとおりです。

• Cisco Secure Workload 4.0.3.17
• Cisco Secure Workload 3.10.8.3

また、3.9系およびそれ以前のバージョンを使用している場合はアップグレードが必要とされています。

アドバイザリ公開時点では、この脆弱性が実際に攻撃へ利用されたという報告は確認されていません。

---

セキュリティ担当者への実務的なポイント

Cisco Secure Workloadを運用している組織は、次の対応が推奨されます。

• 使用しているSecure Workloadのバージョンを確認
• 修正済みバージョンへ速やかにアップデート
• 管理APIへのアクセスログを確認

特にこの製品はクラウドやデータセンターのワークロード間通信を管理する基盤であるため、侵害されると広範囲のシステムに影響する可能性があります。

未認証アクセスが可能という性質上、パッチ適用の優先度は非常に高い脆弱性といえるでしょう。