チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ネットワーク管理基盤に未認証DoS脆弱性が出ると、業務にどこまで影響が及ぶのでしょうか？」
「復旧には手動再起動が必要と書かれていますが、何が運用上の問題になるのでしょうか？」
チップスボス、CiscoのCrosswork ControllerやNSOにDoS脆弱性が出たって聞いたんでしゅが、認証なしで攻撃できるって本当でしゅか？
ボス本当だ。CVE-2026-20188はレート制限不足で、外部から接続を浴びせ続けるだけで装置が応答停止に陥る。しかも復旧には手動再起動が必要で、夜中の運用担当者が泣くやつだな。
本記事では、Ciscoが2026年5月に公表したCrosswork Network Controller・Network Services Orchestratorの未認証DoS脆弱性について、影響範囲と取るべきアップグレード手順を解説します。
3行で分かるニュースのポイント
記事を読み終える頃には、自社のネットワーク自動化基盤がこの脆弱性の対象になるかどうか、判断軸がクリアになります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
CiscoはセキュリティアドバイザリでCVE-2026-20188を公表し、影響を受ける製品とバージョンの範囲を明らかにしました。
原因は受信ネットワーク接続のレート制限不足にあります。
攻撃者は不正なパケットを必要とせず、大量の接続要求を送るだけで内部リソースを枯渇させ、装置全体を応答不能に追い込めます。
事業者がCrosswork Network Controllerでマルチドメインのオーケストレーションを担っている場合、影響は単一機器を超えて拡大します。
影響を受ける主な製品とバージョンは以下のとおりです。
| 製品 | 影響範囲 | 修正版 |
|---|---|---|
| Crosswork Network Controller (CNC) | 7.1以前 | 7.2以降 |
| Network Services Orchestrator (NSO) | 6.3以前 | 6.4.1.3または6.5以降 |
本脆弱性が深刻なのは、攻撃成立の容易さと復旧コストのギャップにあります。
装置が応答停止に陥った後、CLIやAPIからの遠隔操作も受け付けなくなるため、現地での電源断と再投入が必要になります。
通信事業者やデータセンターの夜間運用では、現場対応要員の手配が間に合わず、サービス停止が長時間化する恐れがあります。
運用面で具体的に発生する課題は以下の通りです。
チップス夜中に「装置が落ちました、現地に行ってください」って連絡が来たら、現場の人は本当に大変でしゅ……。
ボスだから攻撃が始まる前に対処するんだ。Cisco PSIRTは野生での悪用を確認していないが、過去にも同種DoSが実際に使われた例がある。詳細はBleepingComputerの解説で確認しておけ。
CVE-2026-20188はパッチ適用が唯一の本質的解決策となります。
CNC 7.2以降またはNSO 6.4.1.3・6.5以降への速やかなアップグレードを最優先とし、適用が間に合わない期間は管理APIを信頼ネットワーク内に閉じ込めるアクセス制御で攻撃面を絞ります。
あわせて、装置の応答監視と現地復旧手順を再確認し、夜間や休日でも現場対応が回せる体制を整えておくことが現実的な備えです。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
