Cisco Crosswork/NSOに無認証DoS脆弱性CVE-2026-20188、復旧に手動再起動が必要で運用負荷が深刻

「ネットワーク管理基盤に未認証DoS脆弱性が出ると、業務にどこまで影響が及ぶのでしょうか？」
「復旧には手動再起動が必要と書かれていますが、何が運用上の問題になるのでしょうか？」

チップス

ボス、CiscoのCrosswork ControllerやNSOにDoS脆弱性が出たって聞いたんでしゅが、認証なしで攻撃できるって本当でしゅか？

ボス

本当だ。CVE-2026-20188はレート制限不足で、外部から接続を浴びせ続けるだけで装置が応答停止に陥る。しかも復旧には手動再起動が必要で、夜中の運用担当者が泣くやつだな。

本記事では、Ciscoが2026年5月に公表したCrosswork Network Controller・Network Services Orchestratorの未認証DoS脆弱性について、影響範囲と取るべきアップグレード手順を解説します。

記事を読み終える頃には、自社のネットワーク自動化基盤がこの脆弱性の対象になるかどうか、判断軸がクリアになります。

事件の概要：ネットワーク自動化基盤に直撃するDoS

CiscoはセキュリティアドバイザリでCVE-2026-20188を公表し、影響を受ける製品とバージョンの範囲を明らかにしました。

脆弱性の仕組みと影響範囲

原因は受信ネットワーク接続のレート制限不足にあります。
攻撃者は不正なパケットを必要とせず、大量の接続要求を送るだけで内部リソースを枯渇させ、装置全体を応答不能に追い込めます。
事業者がCrosswork Network Controllerでマルチドメインのオーケストレーションを担っている場合、影響は単一機器を超えて拡大します。

影響を受ける主な製品とバージョンは以下のとおりです。

攻撃者の手口と運用への影響：手動再起動が必須の悪夢

本脆弱性が深刻なのは、攻撃成立の容易さと復旧コストのギャップにあります。

なぜ「手動再起動」が運用を直撃するのか

装置が応答停止に陥った後、CLIやAPIからの遠隔操作も受け付けなくなるため、現地での電源断と再投入が必要になります。
通信事業者やデータセンターの夜間運用では、現場対応要員の手配が間に合わず、サービス停止が長時間化する恐れがあります。

運用面で具体的に発生する課題は以下の通りです。

チップス

夜中に「装置が落ちました、現地に行ってください」って連絡が来たら、現場の人は本当に大変でしゅ……。

ボス

だから攻撃が始まる前に対処するんだ。Cisco PSIRTは野生での悪用を確認していないが、過去にも同種DoSが実際に使われた例がある。詳細はBleepingComputerの解説で確認しておけ。

まとめ：通信事業者が今すぐ実施すべき三つのアクション

CVE-2026-20188はパッチ適用が唯一の本質的解決策となります。
CNC 7.2以降またはNSO 6.4.1.3・6.5以降への速やかなアップグレードを最優先とし、適用が間に合わない期間は管理APIを信頼ネットワーク内に閉じ込めるアクセス制御で攻撃面を絞ります。
あわせて、装置の応答監視と現地復旧手順を再確認し、夜間や休日でも現場対応が回せる体制を整えておくことが現実的な備えです。