Cisco Systemsは現地時間2026年8月26日、同年9月2日にセキュリティアドバイザリを公開する予定であることを事前通知として明らかにした。対象はIP電話「Desk Phone」シリーズのソフトウェア、「IOS XR Software」、「Nexus 9000シリーズスイッチ（Silicon One）」、「Cisco Secure Email」。脆弱性の内容や、脆弱性ごとに割り振られる識別番号であるCVE番号は、この段階では公表されていない。単なる予告に見えるこの文書は、同社が2026年7月から本格導入した「リスクベースの脆弱性開示モデル」に基づくもので、パッチ適用の進め方そのものを変えようとする取り組みの一部である。
予告された対象製品
事前通知（アドバイザリID：cisco-sa-notice-f2SiMFxl）は、区分としては「Informational（情報提供）」、ステータスは暫定版として公開された。公開予定日は現地時間2026年9月2日で、対象として挙げられているのは次の4つだ。
- Desk Phone 9800、7800および8800、8875シリーズのソフトウェア
- IOS XR Software（セキュリティ強化を目的としたリリース）
- Nexus 9000シリーズスイッチ Silicon One
- Secure Email
Ciscoは、9月2日に開示される脆弱性を完全に解消するには、各アドバイザリで示される修正済みソフトウェアへのアップグレードが必要になると説明している。一方で、CVE番号、脆弱性の詳細、影響を受けるバージョン、深刻度を数値で示すCVSS（共通脆弱性評価システム）のベーススコア、悪用の有無といった情報は、事前通知の段階では一切示されていない。
「いつ来るか」を先に知らせる開示モデル
Ciscoがこの形式をとるようになったのは2026年7月からだ。同社は、AIを活用した脆弱性発見が急速に進み、その場その場で対応する従来型のパッチ提供では追いつかなくなったとして、開示の枠組みを見直した。
新しいモデルの骨格は3つある。第一に、公開の周期を固定したこと。セキュリティ強化リリース（ハードニングリリース）に関するアドバイザリは、原則として毎月第1・第3水曜日の16:00 UTCに公開される。第二に、その7日前に事前通知を出すこと。今回の8月26日の通知はこれにあたる。開示すべき脆弱性がない回についても、「今回は対象なし」という形で通知される。第三に、同じ弱点分類（CWE）を共有する複数の不具合を1つの「アンブレラCVE」にまとめ、そのカテゴリ内で最も深刻なものに基づいてCVSSスコアを付与する方式を採ったことだ。
Ciscoはこの狙いを、変更管理の計画や検証環境での確認、保守作業の承認をあらかじめ組み立てられるようにすること、つまりパッチ管理を計画された作業に変えることだと説明している。同社は原則として、修正ソフトウェアがダウンロードセンターで入手可能になってからアドバイザリを公開する方針も示しており、「脆弱性は分かったが直す手段がない」という空白を作らない構えだ。
予告は確定情報ではない
ただし、この事前通知をそのまま作業計画に落とし込むには注意が要る。Cisco自身が、このスケジュールは最終的な確約ではないと明記している。リリースが遅れたり想定外の変更が生じたりした場合には特定の製品が対象から外れて再スケジュールされることがあり、逆に前倒しで準備が整った製品が追加されることもある。最新の状況は事前通知の改訂履歴で確認する必要がある。
また、この定期的な周期の外でアドバイザリが出る余地も残されている。Ciscoは、実際に悪用が確認されている場合や、深刻度の高い脆弱性、第三者製ソフトウェア・オープンソース部品の重大な問題といった緊急性の高い状況では、周期外での公開を続けるとしている。一方で、リスクの低い指摘については個別のアドバイザリを出さず、より簡素な形での開示に切り替える方針も示されている。
「予定を知っている」ことを実際の備えに変えられるか
ネットワーク機器やIP電話、メールセキュリティ製品は、いずれも業務の土台に置かれ、止めにくい機器の代表格である。だからこそ、修正版が出てから慌てて調整に入ると、適用が数週間から数か月単位で先送りされやすい。今回のように公開日と対象製品が7日前に分かるのであれば、その期間に対象機器の棚卸し、現行バージョンの確認、影響範囲の切り分け、作業窓の確保まで済ませておける。予告の価値は、情報を早く知ることではなく、当日から作業に入れる状態を作れることにある。
もっとも、これはCiscoの製品を使っている組織が、自社にどの機器が何台あり、どのバージョンで動いているかを把握できていて初めて成り立つ話でもある。事前通知を受け取っても、対象製品が自社にあるかどうかを調べるところから始めるようでは、7日間はあっという間に消える。開示側が予測可能性を高めた分、受け取る側の資産管理の精度がそのまま対応の速さに跳ね返る構図になったと言える。
同じ手口に、自社は備えられていますか？