Cisco IOS XR ハードニングリリース｜7 件の CVE と SMU 対応

はじめに

2026 年 9 月 2 日 16:00 UTC、Cisco は IOS XR ソフトウェアのセキュリティハードニングリリースに関するアドバイザリ（cisco-sa-hardening-iosxr-qg64NcM）を公開しました。Security Impact Rating は Critical、CVSS ベーススコアの最大値は 9.8 です。CVE-2026-20274 から CVE-2026-20280 までの 7 件が同時に採番されています。

先行して公開された IOS XE のハードニングリリースと形式は似ていますが、運用上の重さがまったく異なります。IOS XE は修正版リリースへのアップグレードで対応が完結する構造でした。一方で IOS XR は、SMU（Software Maintenance Update）が提供されるベースリリースへ移行したうえで、プラットフォームと該当する機能領域に応じた複数の SMU を個別に選定して適用する必要があります。対象は IOS XR7（LNT）を含むすべての IOS XR リリースで、デバイスの設定内容にかかわらず影響を受けるとされ、回避策は提供されていません。

結論を先に述べます。恒久対策は、SMU が提供されるリリースへ移行し、該当する SMU を適用することです。Cisco PSIRT は公開時点で公表事例も悪用も確認しておらず、CISA の Vulnrichment でも 7 件すべて Exploitation が none と評価されています。このため、すべての環境で緊急適用が必要とは一律に判断できません。一方で、全リリースが対象であり回避策も提供されていないため、対象機器の棚卸しと SMU の選定は速やかに開始することを推奨します。実際の適用時期は、機器の重要度、冗長性、README に記載された通信影響を踏まえて決定します。本記事の内容は 2026 年 9 月 3 日時点のアドバイザリ（Version 1.1）に基づいています。

Cisco IOS XR ハードニングリリースの概要

本アドバイザリは、Cisco の IOS XR ソフトウェアエンジニアリングチームが実施した内部セキュリティレビューの結果として公開されたものです。外部からの報告や攻撃の観測を受けたものではなく、内部で発見した複数の不具合をまとめて修正するハードニングリリースの告知という性格を持ちます。発見手段としては、既存のテストプロセスに加えてフロンティア AI モデルを使用した旨が記載されています。Cisco が脆弱性の特定に AI を活用する取り組み全般については、関連記事『Cisco Antares とは｜脆弱性特定に特化した軽量 AI モデルの実力』で整理しています。

7 件のアンブレラ CVE と CWE 分類

アドバイザリでは、修正対象の脆弱性が CWE 単位で 7 つのクラスに整理され、それぞれに 1 件の CVE ID が割り当てられています。

ここで押さえておきたいのは、この 7 件は「7 個の脆弱性」ではなく、共通する CWE ごとに複数の内部不具合をまとめたアンブレラ CVE であるという点です。各 CVE の配下に何件の不具合が含まれるかはアドバイザリに記載されていません。CVE の件数から修正規模を推し量ることはできない構造になっています。この開示形式は Cisco のリスクベース脆弱性開示モデルに基づくもので、モデル自体が脆弱性管理プロセスへ与える影響は、関連記事『Cisco IOS XE ハードニングリリース｜CVSS 9.8 の影響と対処』で扱っています。

CVSS 9.8 の読み方と悪用状況

アドバイザリは、各 CVE に付与された CVSS スコアが、その CWE カテゴリ配下で最も影響の大きい単一の脆弱性を基準にした最大値であることを明示しています。つまり 9.8 は「CWE-664 および CWE-284 のカテゴリ内で最悪の 1 件がこの水準」という意味であり、同カテゴリに含まれる他の不具合が同じ深刻度であることを示すものではありません。

もう 1 点、優先度判断で見落としやすいのが CVSS ベクトルの内訳です。Cisco が CNA として登録した各 CVE Record には、以下のベクトルが記載されています。

7 件のベクトルは一様ではありません。攻撃元区分がネットワークのものが 6 件、隣接ネットワークのものが 1 件、低権限の認証を必要とするものが 2 件あります。影響の内訳も、機密性・完全性・可用性すべてに高影響とされるものと、可用性を中心とするものに分かれています。7 件すべてが未認証リモートからの完全侵害につながる、という読み方は正確ではありません。ただし、どの不具合がどの機能や処理経路に対応するかは公開されていないため、ベクトルから攻撃面を特定することもできません。

悪用状況については、Cisco PSIRT が公開時点で本アドバイザリに記載された脆弱性の公表事例や悪用を確認していないとしています。第三者側の評価としては、CISA の Vulnrichment（CISA-ADP）が 7 件とも SSVC の Exploitation を none と判定しており、うち CVE-2026-20274、CVE-2026-20276、CVE-2026-20277、CVE-2026-20279 の 4 件は Automatable が yes とされています。執筆時点で CISA KEV への掲載は確認できません。

影響を受ける IOS XR と確認方法

全リリースが設定にかかわらず対象

アドバイザリの Vulnerable Products では、影響範囲が次のように示されています。

参考: Cisco Security Advisory（cisco-sa-hardening-iosxr-qg64NcM）
“These vulnerabilities affect all releases of Cisco IOS XR Software”
（これらの脆弱性は、Cisco IOS XR ソフトウェアのすべてのリリースに影響します）
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-iosxr-qg64NcM

この記述には IOS XR7（LNT）ソフトウェアも含まれ、デバイスの設定内容にかかわらず影響を受けるとされています。従来の Cisco 脆弱性で使ってきた「該当機能を有効にしていないので影響なし」という判定プロセスが、今回は使えません。

あわせて確認しておきたいのが、確認手段の違いです。Cisco Software Checker は IOS および IOS XE などを対象とするツールで、IOS XR ソフトウェアには対応していません。本アドバイザリにも Software Checker への案内は用意されておらず、影響判定はアドバイザリ内の 2 つの表を直接突き合わせて行うことになります。

show version による IOS XR7（LNT）の確認

稼働中のソフトウェアが IOS XR7（LNT）かどうかは、show version の出力に LNT が含まれるかで判別できます。アドバイザリに掲載されている公式の出力例は次のとおりです。

RP/0/RP0/CPU0:Router#show version
Tue Sep 1 05:44:27.305 UTC
Cisco IOS XR Software, Version 24.3.2 LNT
RP/0/RP0/CPU0:Router#

アドバイザリの注記によると、IOS XR7（LNT）ソフトウェアが動作するプラットフォームには、Cisco 8000 シリーズルーター、Cisco NCS 1010、Cisco NCS 540L シリーズルーター、Cisco NCS 5700 シリーズが含まれ、オプション機能の実装有無は問われません。LNT に該当するかどうかは、後述する機能別 SMU 表で専用の行が用意されているため、棚卸しの早い段階で切り分けておくと以降の作業が整理しやすくなります。

プラットフォーム・機能別の影響と SMU 識別子

アドバイザリには、機能領域ごとに対象リリース・プラットフォームと SMU 識別子を示した表が掲載されています。適用すべき SMU を絞り込むための情報であり、影響の有無を機器単位で判定するための表ではありません。

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-iosxr-qg64NcM

表を読むうえで注意したい点が 3 つあります。

1 つ目は、「影響なし」と「対象外」を混同しないことです。この列が示しているのは、その機能領域についてその SMU が不要であるという意味にとどまります。特定の機能を使用していないことは、機器全体が今回のアドバイザリの対象外である根拠にはなりません。SMU を絞り込む際も、設定上その機能を使用していないことだけを根拠に候補から外すのではなく、各 SMU の README で対象コンポーネントと適用条件を確認したうえで判断します。必要な SMU を判断できない場合は、Cisco TAC または保守窓口へ確認します。

2 つ目は、CSCwv19171 が IS-IS と OSPF の両方に適用される点です。表の上では別々の行に現れますが、実体は同一の SMU です。適用対象を数える際に二重計上しないよう注意してください。

3 つ目は、SMU 識別子の性質です。アドバイザリには、これらが一意の識別子であって Cisco Bug ID ではないこと、およびすべての SMU がすべてのリリースやプラットフォームに適用できるわけではないことが明記されています。識別子は SMU ファイルを探すための手がかりであり、そのまま Bug Search Tool で検索する種類の値ではありません。ファイル名の例としては、Cisco IOS XRv 9000 ルーター向けのリリース 24.2.2 の BGP 用 SMU が xrv9k-24.2.2.CSCwu14807.tar になる旨が示されています。

修正版リリースと SMU の提供状況

リリーストレイン別の対応表

アドバイザリの Fixed Releases では、リリーストレインごとに SMU が提供されているリリース、または将来の修正版が示されています。2026 年 9 月 3 日時点（Version 1.1）の内容は次のとおりです。

この表から読み取るべきことは 2 つです。1 つは、自環境のリリースがそのまま SMU を適用できる状態か、それとも先にベースリリースの移行が必要かという点です。24.1、24.3、25.1 の各トレインでは SMU が将来提供の扱いになっているため、SMU の提供を待つか、提供済みのリリースへ移行するかという選択が発生します。もう 1 つは、リリースごとに約 16 個の SMU が提供される可能性があるとアドバイザリに記載されている点です。実際に必要な数はプラットフォームや対象コンポーネントによって異なるため、候補の洗い出しと適用条件の確認が必要になります。単発のアップグレードとは、事前調査にかかる工数の性質が異なります。

なお、提供状況は公開後に更新される可能性があります。適用計画を確定する直前に、最新版のアドバイザリで表の内容が変わっていないかを確認することを推奨します。

SMU を必要としない 26.2.2 と 26.3.1

アドバイザリは、今後の IOS XR リリースである 26.2.2 と 26.3.1 が、SMU を必要としない最初の修正版になるとしています。本アドバイザリの修正を内包し、追加の SMU が不要となる最初の将来リリースという位置づけです。

ただし、どちらも公開時点では future release と記載されており、提供済みの修正版ではありません。すでに適用できるバージョンとして計画へ組み込むと、対応期限の設計そのものが崩れます。サポート対象リリースへの SMU 適用は、Cisco が提供する正式な修正手段です。現在のリリースを維持して SMU を適用するか、将来リリースへ移行するかは、現在のトレイン、保守期限、変更計画、検証負荷に応じて選択する事柄であり、26.2.2 または 26.3.1 への到達が対応の前提条件になるわけではありません。

一覧にないリリースと EOL の扱い

影響範囲がすべての IOS XR リリースとされている一方で、Fixed Releases の表に並ぶのは 7.3 以降のトレインだけです。この差は読み違えやすいところです。表に記載がないことは、そのリリースが影響を受けないことを意味しません。アドバイザリは、表に記載のないリリース向けの SMU が必要な場合、Cisco TAC のサービスリクエストを起票するか、保守を委託している窓口へ問い合わせるよう案内しています。

この差が生じている背景として、Version 1.1 で Fixed Releases から EOL ソフトウェアの記載が削除された経緯があります。初版には、32-bit ASR 9000 シリーズ向けの 6.9 トレインなど、EOL に該当するリリースの行が含まれていました。改訂で確認できるのは、Fixed Releases から EOL ソフトウェアの記載が削除されたという事実までです。表から削除されたことは、そのリリースへの影響がなくなったことを意味しません。旧トレインが残っている環境では、棚卸しの対象から外すのではなく、修正提供の可否、移行先、保守状況を Cisco TAC または保守窓口へ確認する対象として扱うことをおすすめします。

SMU の選定と適用前後の確認手順

ここからが本アドバイザリの対応で最も工数のかかる部分です。IOS XE のように「修正版 1 本へ上げて完了」という構造ではないため、選定の軸を先に固めてから作業へ入ると手戻りを抑えられます。

SMU 選定で確認する 3 つの軸

Cisco の公式解説によれば、SMU はリリース単位かつコンポーネント単位で構築され、プラットフォームに固有のものです。異なるプラットフォーム向けの SMU を別のプラットフォームへ導入することはできず、あるリリース向けに構築された SMU を別のメンテナンスリリースへ適用することもできません。SMU の選定は、リリース、プラットフォーム、機能の 3 軸が同時に一致して初めて成立します。

実務上は、次の順で絞り込むと表との突き合わせが機械的に進みます。まず Fixed Releases の表で、稼働リリースが SMU を適用できるベースリリースかを確認します。次に、稼働リリースとプラットフォームに該当する行を機能別表から抽出し、SMU 候補を洗い出します。XR7（LNT）に該当する場合は「All XR7（LNT）Platforms」の行が対象となり、CSCwv19790 を候補へ加えます。ここで得た識別子をもとに、Download Software Center で対象プラットフォーム向けに提供されている SMU ファイルと README を確認し、対象コンポーネント、適用条件、依存関係を突き合わせます。

この絞り込みで注意したいのは、除外の判断材料です。設定上その機能を使用していないことだけを根拠に SMU を候補から外さず、README の記載を確認したうえで判断します。必要な SMU を判断できない場合は、Cisco TAC または保守窓口へ確認することをおすすめします。

README で確認する再起動と通信影響

SMU という名称から無停止での適用を想定しがちですが、実際の影響は SMU ごとに異なります。各 SMU には README が付属し、再起動の種別と適用時の影響が記載されています。Cisco の公式解説で定義されている区分は次のとおりです。

restart type: dependent

有効化の際にノード上のプロセスが並列に再起動されます。通信影響は hitless または traffic loss のいずれかに分かれます。

restart type: reboot

ルーターのリブートを伴います。インストール方式は parallel reload または ISSU となり、ISSU は OS とプラットフォームが対応している場合に限られます。

installation impact: hitless

ルーティングと転送の通常動作に影響を与えずに有効化できる区分です。多くの SMU がここに分類されます。

installation impact: traffic loss

ルーティングプロトコル内の不具合を修正する SMU では、該当プロセスが再起動します。graceful restart 拡張をデフォルトタイマーで使用していれば転送は継続しますが、未使用の場合はセッションが切断され、隣接からトラフィックが迂回されます。

prerequisite と supersedes

前提となる SMU が必要な場合と、既存の SMU を置き換える場合があります。部分置き換えでは両方の適用が必要になるため、README の記載を確認します。

今回のアドバイザリでは、IS-IS、OSPF、BGP、Segment Routing、MPLS といったルーティング関連の機能領域が対象に含まれています。これらの SMU が traffic loss に分類される場合、graceful restart の設定状況によって通信断の有無が変わります。停止枠の見積もりは、SMU ごとの README を確認したうえで行うことを推奨します。

ISSU についても、対応範囲が限定される点に注意が必要です。

参考: Understand IOS XR Software Maintenance Updates (SMUs)
“Not all Cisco IOS XR platforms and Cisco IOS XR versions support ISSU.”
（すべての Cisco IOS XR プラットフォームおよび Cisco IOS XR バージョンが ISSU に対応しているわけではありません）
https://www.cisco.com/c/en/us/support/docs/ios-nx-os-software/ios-xr-software/116332-maintain-ios-xr-smu-00.html

適用前後の確認手順

ここまでの内容を、運用担当者が実行できる順序へ整理します。

IOS XR のインストール系コマンドは、従来型の IOS XR と IOS XR7（LNT）で体系が異なり、プラットフォームやリリースによっても差があります。show install activeshow install loginstall verify packagesinstall commit などを手順書へ落とし込む際は、対象機種とリリースの公式ガイドでコマンドの存在と適用条件を確認したうえで記載することをおすすめします。

IOS XR 運用での対応優先度

回避策が提供されていない一方で、公開時点では悪用が確認されていません。この 2 つは分けて扱う必要があります。回避策がないことは対応手段の選択肢が限られることを示し、悪用が確認されていないことは、深刻度だけを根拠に一律の緊急適用を判断する必要はないことを示します。即時適用の要否は、環境ごとの判断になります。

優先度を決める際に、インターネットからの到達性だけで判断するのは適切ではありません。IOS XR が動作する機器はコアや PE として配置されることが多く、インターネットから直接到達できない位置にあっても、BGP ピア、IS-IS や OSPF の隣接、gRPC を使う管理系の経路など、外部と接する処理は複数存在します。今回のアドバイザリでは対象となる機能領域に gRPC や crypto-ike が含まれており、露出度の低さだけで対象から外す判断は成立しにくい構成です。

実務的には、次の要素を組み合わせて適用順を決める方法が扱いやすいと考えられます。

• 機器の重要度と、障害時に影響を受けるサービスの範囲
• 冗長構成の有無と、片系停止で作業できるかどうか
• 確保できる停止時間と、README から見積もった通信影響の大きさ
• 稼働リリースの SMU 提供状況と、ベースリリース移行の要否
• 現在のリリースで SMU を適用するか、将来リリースへ移行するかの選択

とくに 4 点目と 5 点目は、IOS XR 固有の判断材料です。SMU が将来提供のトレインでは、SMU を待つ選択と提供済みリリースへ移行する選択のどちらが早いかが、そのままリードタイムを左右します。

そのうえで押さえておきたいのは、サポート対象リリースに該当する SMU を適用すれば、それ自体が本アドバイザリに対する正式な脆弱性対応として成立するという点です。26.2.2 や 26.3.1 への移行は、次回の計画更改時に検討できる別の選択肢であり、SMU 適用を経てから将来リリースへ移行する流れを、一律に二重作業と評価する必要はありません。将来リリースへの移行は脆弱性対応の完了条件ではなく、追加の SMU を不要にして以降の運用負荷を下げるという別の価値をもつ判断として扱うと、計画の設計がしやすくなります。

まとめ

2026 年 9 月の IOS XR ハードニングリリースは、CWE 単位でまとめられた 7 件の CVE により、すべての IOS XR リリースを対象とする内容です。回避策がなく、機能の有効・無効による除外もできないため、対応は SMU の選定と適用に集約されます。IOS XE のように修正版へ 1 回上げて完了する構造ではないぶん、棚卸しと選定にかかる工数を先に見積もっておくことが、計画の精度を左右します。

• 7 件は CWE カテゴリ単位のアンブレラ CVE
• CVSS 9.8 はカテゴリ内の最大値という位置づけ
• IOS XR7（LNT）を含む全リリースが設定に関係なく対象
• SMU の選定はリリース、プラットフォーム、機能の 3 軸
• README で restart type と installation impact を確認
• 一覧にないリリースは対象外ではなく TAC への確認対象
• 26.2.2 と 26.3.1 は追加 SMU が不要となる将来リリース

以上、最後までお読みいただきありがとうございました。