CISAがCisco・Chrome・Aristaの脆弱性をKEVに追加、Cisco SD-WANはパッチ無しゼロデイ悪用中

「CISAのKEVに載った脆弱性って、結局どれから直せばいいでしゅか？」
「Ciscoのゼロデイにパッチがまだ無いって、放置するしかないんでしゅか……」

チップス

うち、Cisco機器もChromeも使ってるでしゅ……全部一気に直すのは無理でしゅよ。

ボス

ふふふ、慌てる必要はない。KEVは「いま実際に攻撃されている」リストだ。優先順位の付け方を知れば、限られた手で守れるところが見えてくるな。

本記事では、CISAがKEVカタログに追加したCisco・Chrome・Aristaの3件の脆弱性について、何が起きていて何を先に直すべきかを整理します。

読み終える頃には、KEV追加3件をどの順番でどう手当てするかの方針が手に入ります。

CISAがKEVに追加した3件の概要

まずはCISAが今回追加した3つの脆弱性が、それぞれ何を突いているのかを整理します。

Cisco・Chrome・Aristaそれぞれの中身

CISAは、実際に悪用が確認された脆弱性をまとめたKEVカタログに、今回3件を追加しました。
とくに深刻なのがCisco Catalyst SD-WAN Manager（CVE-2026-20245）で、出力エスケープの不備により権限昇格が起きます。
netadmin権限を持つ認証済みの攻撃者が細工したファイルをアップロードすると、root権限で任意のコマンドを実行できてしまう仕組みです。
Ciscoはこの欠陥がゼロデイとして悪用され、エッジデバイスへ設定変更がプッシュされた限定的な事例を確認したと説明しています。
残る2件はGoogle Chrome（CVE-2026-11645）とArista EOS（CVE-2026-7473）で、どちらも実環境での悪用が確認されています。

3件の要点は以下のとおりです。

チップス

Chromeの脆弱性って、Edgeとかにも関係するんでしゅか？

ボス

鋭いな。V8はChromium共通のエンジンだ。EdgeやOperaなどChromium系ブラウザにも影響が及びうる。だからChrome更新だけでは足りないと考えるべきだな。

脆弱性の仕組みと影響、優先順位

3件は性質が異なり、パッチの有無も違うため、手当ての順番を分けて考える必要があります。

パッチ未提供のCiscoをどう守るか

もっとも厄介なのがCiscoのCVE-2026-20245で、現時点でパッチが開発中、しかも公式の回避策もありません。
悪用にはnetadmin権限が必要なため、管理インターフェースへの到達経路を絞り込むことが当面の現実解になります。
具体的には、SD-WAN Managerの管理アクセスを信頼できる経路だけに限定し、認証情報の使い回しを断つ運用が有効です。
ChromeのCVE-2026-11645は最新版への更新で塞げるため、Chromium系を含めたブラウザの自動更新を確実に回すのが先決です。
Arista EOSのCVE-2026-7473は、既存設定が壊れるリスクを理由に修正パッチが予定されておらず、設定による緩和で対処する設計になっています。

優先度の付け方をまとめると次のとおりです。

3件のうちパッチで完結するのはChromeだけです。
Ciscoは経路の遮断、Aristaは設定緩和と、それぞれ「直す」以外の守り方が要る点が今回の難しさになります。

チップス

パッチが無いのに期限だけ来るのは、けっこうつらいでしゅ……。

ボス

そこで効くのが経路の遮断と権限の最小化だ。攻撃に必要な前提を1つでも崩せば、悪用は格段に難しくなる。守りは「直す」だけではないということだな。

まとめ：KEVを起点に「いま危ない」から直す

今回のKEV追加は、Cisco・Chrome・Aristaのいずれも実環境で悪用が進んでいる点が共通しています。
とくにCiscoはゼロデイでパッチも回避策も無いため、管理アクセスの遮断と権限の見直しを先に動かす必要があります。
Chromeは更新で塞ぎ、Aristaは設定緩和で対処と、脆弱性ごとに守り方を分けて2026年6月23日を目標に手を打つのが現実的です。
こうした優先順位付けと緩和策の設計を現場で回したい方は、ぜひセキュリティフリーランス案件で多様な環境を経験してみてください。

参考: Help Net Security「Cisco SD-WAN 0-day exploited (CVE-2026-20245)」