Cisco UCS Central Software の管理画面で、ログイン済みの攻撃者が任意のコマンド実行・ファイル書き込み・情報取得をできる恐れ（CVE-2026-76506）: CVSS v3.1 7.6、Cisco が更新を公開

Cisco が、サーバー管理ソフト Cisco UCS Central Software の Web 管理画面に関する脆弱性（CVE-2026-76506）を公表し、2026-11-04 に NVD へ登録されました。登録元は Cisco（psirt@cisco.com）で、NVD の状態は「Received」です。NVD 自身の分析は付いていません。

何が起きるか

• Web 管理画面が、HTTP リクエストに含まれる利用者の入力を十分に検査していません。
• 有効な認証情報を持つ攻撃者が、細工した HTTP リクエストを特定の接続先に送ると、任意のコマンドの実行、ファイルシステムへの任意のファイル書き込み、機密情報の取得ができる恐れがあります。
• 攻撃にはログインが必要です（PR:L）。利用者の操作は不要で、ネットワーク経由です。
• 弱点の種類は CWE-22（パス名の不適切な制限、いわゆるパストラバーサル）とされています。

評価

• CVSS v3.1 は 7.6（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L）です。これは NVD ではなく登録元（Cisco）の評価です。
• 認証が必要なため、severity は critical にせず high とします。
• EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

影響を受ける版と修正

• Cisco の記述では、ソフトウェア更新が公開されており、回避策はありません。
• 影響を受ける具体的な版と、修正済みの版は、NVD の記述からは確認できませんでした。Cisco の勧告で確認してください。

対策

• Cisco の勧告（cisco-sa-cucs-rce-LzHSFRDQ）に従い、修正版の UCS Central Software に更新する。
• 回避策はないとされているため、更新までの間は、管理画面に接続できるネットワークの範囲を絞り、不要なアカウントを見直す（公式の指示ではなく、一般的な対応です）。

未確認の点

• 影響を受ける版と修正版の番号。
• 悪用の有無と、攻撃コードの公開状況。
• 任意のコマンド実行が管理者以外の権限でも可能か（NVD の記述は「有効な認証情報」とだけ書いています）。
• EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-76506
• Cisco Security Advisory: cisco-sa-cucs-rce-LzHSFRDQ