Cisco License On-Prem の API に認証欠如、任意ファイル書き込み（CVSS 9.1）

Critical（CVSS 9.1）に分類されるCisco Cisco License On-Prem（旧 Cisco Smart Software Manager On-Prem）10-202608 未満の脆弱性です。Cisco 製品のライセンスを社内で管理するオンプレミス製品 **Cisco License On-Prem**（旧称 Smart Software Manager On-Prem / SSM On-Prem）の **Smart Licensing Utility API** で、管理 API の入力検証が不十分なうえ**認証が無い**ため、**認証なしのリモート攻撃者がシステムに任意のファイルを書き込む**か、サービス停止（DoS）を起こせる。 **対象**: Cisco のアドバイザリ（cisco-sa-ssm-access-nttb2dhE・2026年10月7日公開・Critical）では、設定にかかわらず全構成が影響を受け、旧称 SSM On-Prem の版も対象。修正版は **10-202608**。 **評価値**: Cisco（CNA）の CVSS 3.1 は **9.1 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）。NVD の分析状況は Awaiting Analysis。Cisco PSIRT は公開情報や悪用を把握していないとしており、2026年10月12日時点で CISA KEV にも収載されていない。 同じアドバイザリでは、認証なしで管理者を含む任意アカウントのパスワードを再設定できる欠陥（CVE-2026-20328・9.1）と、管理者権限が要る中程度の欠陥2件（CVE-2026-76437 / 76452・4.9）も修正されている。

**Cisco License On-Prem を 10-202608 以降へ更新する。** Cisco の表では「10-202608 より前」は 10-202608 へ、「9-202601 以前」は修正版の系列へ移行、10-202609 は影響なし。**回避策は無い**と Cisco は明記している。 **影響を受けるかの確認**: 社内で License On-Prem / SSM On-Prem を動かしているか、その版が 10-202608 未満かを確認する。同じ更新でパスワード再設定の欠陥（CVE-2026-20328）も直る。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: 管理インタフェースと API に届く送信元を、ライセンスを同期する社内機器と管理端末だけに絞り、インターネットから到達できないことを確かめる。

Cisco Cisco License On-Prem（旧 Cisco Smart Software Manager On-Prem）10-202608 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76454）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。