Cisco License On-Prem で認証なしに管理者パスワードを再設定（CVSS 9.1）

Critical（CVSS 9.1）に分類されるCisco Cisco License On-Prem（旧 Cisco Smart Software Manager On-Prem）10-202608 未満の脆弱性です。Cisco 製品のライセンスを社内で管理する **Cisco License On-Prem**（旧称 SSM On-Prem）の Web 管理画面で、パスワード再設定の処理に適切な確認が無く、**認証なしのリモート攻撃者が管理者を含む任意のアカウントのパスワードを再設定して乗っ取れる**。 **対象**: Cisco のアドバイザリ（cisco-sa-ssm-access-nttb2dhE・2026年10月7日公開・Critical）では、設定にかかわらず全構成が影響を受け、旧称 SSM On-Prem の版も対象。修正版は **10-202608**。 **評価値**: Cisco（CNA）の CVSS 3.1 は **9.1 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）。NVD の分析状況は Awaiting Analysis。CISA の SSVC 評価は「悪用: なし／自動化: 可能／技術的影響: 全面的」。Cisco PSIRT は悪用を把握しておらず、2026年10月12日時点で CISA KEV にも収載されていない。 同じアドバイザリでは、管理 API の認証欠如による任意ファイル書き込み（CVE-2026-76454・9.1）も修正されている。

**Cisco License On-Prem を 10-202608 以降へ更新する。** 9-202601 以前の系列は修正版の系列へ移行する。**回避策は無い**と Cisco は明記している。 **影響を受けるかの確認**: 社内で License On-Prem / SSM On-Prem を動かしているか、その版が 10-202608 未満かを確認する。更新後は、管理者アカウントのパスワードが意図せず変わっていないか、見覚えの無いアカウントやログインが無いかを点検する（一般的な事後確認で、Cisco の指示ではない）。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: Web 管理画面に届く送信元を管理端末だけに絞り、インターネットから到達できないことを確かめる。

Cisco Cisco License On-Prem（旧 Cisco Smart Software Manager On-Prem）10-202608 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20328）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。