Cisco「Snort 3」に13件の脆弱性、CVE-2026-20043／CVE-2026-20236はCVSS 9.0　FTDやMeraki MXなどに修正版

Ciscoは2026年10月21日（米国時間）、侵入検知・防御エンジン「Snort 3」に関する7件のセキュリティアドバイザリを公表しました。対象となるCVEは計13件で、メモリの境界外書き込み「CVE-2026-20043」と計算処理の不備「CVE-2026-20236」は、いずれもCVSS v3.1の基本値が9.0です。Cisco Secure Firewall Threat Defense（FTD）、Meraki MX、Cisco Cyber Vision、IOS XEのUnified Threat Defense（UTD）など、Snort 3を利用する複数の製品に更新が提供されています。

多くの脆弱性は、細工された通信の解析によってSnort 3の検知エンジンを再起動させ、通信の検査中断やサービス拒否（DoS）を引き起こすものです。一方、「CVE-2026-76524」はオープンソース版Snort 3におけるローカル権限でのコマンド実行につながる問題として公表されました。Cisco PSIRTは、各アドバイザリの公開時点で悪意ある悪用を把握していないとしています。

Snort 3脆弱性13件のサマリー

• Cisco PSIRTが2026年10月21日16時UTC（日本時間10月22日1時）に関連アドバイザリ7件を公開しました。
• 対象は計13件のCVEで、最も高いCVSS v3.1基本値は9.0です。
• CVE-2026-20043は境界外書き込み（CWE-787）、CVE-2026-20236は不正確な計算（CWE-682）に関係します。いずれも9.0です。
• CVE-2026-76524は低権限のローカル利用者がSnort 3のプロセス権限でコマンドを実行できる可能性があります。CVSSは7.8です。
• 複数のDoS脆弱性では、認証されていない遠隔の攻撃者が通信解析を通じてSnort 3検知エンジンを再起動させる可能性があります。
• 影響製品にはOpen Source Snort 3、FTD、Cyber Vision、Meraki MX、UTD on Cisco IOS XEなどが含まれます。ただし、各CVEの影響製品・設定条件は異なります。
• オープンソース版Snort 3の修正版は3.12.4.0です。
• FTD、Cyber Vision、IOS XE UTDは製品系列に応じた修正版への更新が必要です。
• Ciscoのクラウド型サービスやオンラインのMeraki MXについては、該当するSnortパッケージの自動更新が公表されています。
• Ciscoによると、CVE-2026-20218のVBA展開処理を無効にする方法を除き、各アドバイザリで原則として脆弱性を解消する回避策は提供されていません。

13件のCVE・深刻度・脆弱性の内容一覧

以下の評価は、Ciscoの7件の公式アドバイザリに掲載されたCVSS v3.1に基づきます。複数CVEを一つにまとめたアドバイザリでは、見出しに掲示された代表スコアだけでなく、個別のCVEの値を採用しています。

Ciscoは、ハードニングの4件について、同じ弱点分類（CWE）に属する複数の問題を一つのCVEで管理していると説明しています。各スコアはその分類内で最も影響の大きい問題に対する評価です。従って、13件のCVEを13個の単一バグと完全に同義として扱うことはできません。

CVSS 9.0のCVE-2026-20043とCVE-2026-20236、AIを使った社内検証で発見

Ciscoによると、今回のSnort 3のハードニングは、開発チームによる既存のテスト手法に加え、フロンティアAIモデルを利用した内部セキュリティ検証の結果です。CVE-2026-20043、CVE-2026-20236、CVE-2026-20291、CVE-2026-20356の4件を、弱点分類別にまとめて修正しました。

CVE-2026-20043の境界外書き込みは、確保されたメモリ領域の外へデータを書き込む不具合の分類です。CVE-2026-20236は、計算結果や境界条件などを誤る処理に関連します。ただし、CiscoはこれらのCVEが含む個々の不具合について、再現条件や具体的な侵害手順をすべて公開しているわけではありません。両CVEともCVSS v3.1のベクトルはネットワーク経由・認証不要・ユーザー操作不要で、複雑性が高い条件として評価されています。

今回の調査ではAIの活用例が社内に限られていません。Ciscoの複数DoSアドバイザリでは、研究者Michael Bommarito氏がClaude AIの支援を受けてCVE-2026-20019、CVE-2026-20179、CVE-2026-20197、CVE-2026-76489を報告したと記載しています。発見にAIが使われたことと、AIによる自動攻撃が確認されたことは別です。

CVE-2026-76524はSnort 3制御チャネルの認証欠如、ローカルで任意コマンド実行の恐れ

CVE-2026-76524（CVSS 7.8）は、Open Source Snort 3の制御チャネルソケットでローカル利用者の接続時に適切な認証が行われない脆弱性です。低い権限を持つローカルの攻撃者でも、Snort 3プロセスの実行ユーザーとしてコマンドを実行したり、プロセスのメモリを読み書きしたりできる可能性があります。

この問題の攻撃条件はローカルアクセスと低権限アカウントであり、認証不要のインターネット経由で直接同じ操作ができるという説明ではありません。Ciscoは影響製品をOpen Source Snort 3とし、3.12.4.0への更新を案内しています。

遠隔の細工された通信により検知エンジンが再起動、検査中断や通信障害のおそれ

他の複数のアドバイザリでは、通信を解析するSnort 3 Detection Engineの異常再起動が主要な影響です。例えばNetFlow、GRE、Teredo、SMTP MIME、GTPなどのデータ処理の欠陥が報告されています。

Ciscoによると、CVE-2026-20019では不正なNetFlowパケット一つが引き金となり得ます。CVE-2026-76489では多数のファイルを解析させることでメモリ消費につながる場合があります。CVE-2026-76445ではGTP拡張ヘッダーを含む断片化されたUDPデータグラムによって処理が無限ループに陥る可能性があります。

とくにCVE-2026-20221は、入れ子になったGREトラフィックを処理する際に検知エンジンが予期せず再起動する問題です。Ciscoは、機器の設定により、セキュリティ検査が一時的にバイパスされる場合と、通信が停止するDoSに至る場合があると説明しました。

エンジン自体は自動再起動しますが、その間の通信の扱いは一律ではありません。FTDで利用する「Snort Fail Open」「snort preserve-connection」などの設定を確認し、検査機能が停止した場合に通信を通すのか遮断するのかを把握しておく必要があります。自動再起動することは、保護機能の連続性を保証するものではありません。

影響するCisco製品と修正版　FTD 7.4系は7.4.8、UTD 17.12系は17.12.8

製品・機能ごとに影響条件が異なるため、自社で稼働するSnortのバージョンだけでなく、Cisco製品側のソフトウェア系列と設定を確認する必要があります。以下はCiscoの主要なSnort 3ハードニングアドバイザリに掲載された修正リリースです。

Cisco Secure FTDでは、新規に導入した7.0.0以降の環境でSnort 3が既定となる一方、旧版から移行した構成ではSnort 2が動作している場合があります。また、IOS XEのUTDは初期状態ではインストールされません。IOS XE機器に該当ソフトウェアが入っているだけで、全機器が同条件で影響を受けるとは限りません。

製品ごとのリリース判定にはCiscoが提供するSoftware Checkerと個別のアドバイザリを使用し、複数の脆弱性を同時に修正できるリリースを選定します。修正版は、Ciscoの10月22日の更新でUTDのリリース表が改訂されているため、更新作業直前にも原文の表を照合してください。

回避策は原則なく更新が基本、VBA展開機能の無効化は一部例外

多くの脆弱性についてCiscoは有効な回避策を示していません。ただしCVE-2026-20218については、VBAマクロの展開機能が既定では有効でないことを説明し、明示的に有効化している場合は更新まで無効にする回避策を案内しています。これは当該CVEの条件に対応するものであり、13件すべてを緩和する措置ではありません。

運用担当者は、Snort 3、FTD、Meraki MX、Cyber Vision、UTDの使用状況を棚卸しし、導入しているエンジンとバージョンを確認した上で、保守窓口と更新計画を調整します。更新前には通信の迂回・遮断の挙動、冗長化構成、障害時の監視代替策を確認します。更新後は検知エンジンが正常稼働しているかに加え、通信検査ポリシーとログ取得が継続しているかを検証します。

多数の製品を横断して更新順を決める場合、CVSSだけでなく、実際に稼働する機能、通信経路、事業への影響も合わせた脆弱性管理の優先順位付けが実務上の判断材料となります。

悪用確認とCISA KEVの掲載状況

Cisco PSIRTは、7件のアドバイザリで公表対象となった脆弱性について、公開時点で悪意ある利用や公の悪用情報を把握していないと説明しています。これは、将来の攻撃可能性がないことや安全性が証明されたことを意味しません。

CISAが公開するKEVカタログの2026年10月21日版（catalogVersion: 2026.10.21）では、今回の主要CVEの掲載は確認されませんでした。KEVは実際の悪用についての収録情報であり、未掲載であることを理由に更新を見送るべきではありません。

出典

• Cisco Advance Notification for Publication of October 21, 2026, Security Advisories ― Cisco
• Multiple Cisco Products Snort 3 Security Hardening Release: October 2026 ― Cisco
• Open Source Snort 3 Control Channel Socket Arbitrary Command Execution Vulnerability ― Cisco
• Multiple Cisco Products Snort 3 Denial of Service Vulnerabilities ― Cisco
• Multiple Cisco Products Snort 3 Generic Routing Encapsulation Denial of Service Vulnerability ― Cisco
• Multiple Cisco Products Snort 3 SMTP MIME Denial of Service Vulnerability ― Cisco
• Multiple Cisco Products Snort 3 Visual Basic for Applications Buffer Overflow Denial of Service Vulnerability ― Cisco
• Multiple Cisco Products Snort 3 Denial of Service Vulnerability (GTP) ― Cisco
• CISA KEV公式データ（2026年10月21日版）― CISA公開GitHubミラー