最近、米国のCISAとNSAは、ロシア政府の支援を受けた攻撃グループが、脆弱または誤って構成されたネットワークルーターを継続的に攻撃していると警告しました。特に共同セキュリティ勧告では、Cisco IOSのHTTP管理機能に存在する古い脆弱性であるCVE-2008-4128をはじめ、サポートが終了している、またはセキュリティアップデートが適用されていないレガシーネットワーク機器が、実際の攻撃に利用される可能性がある点が強調されています。
ルーターやスイッチは、組織内部と外部の通信をつなぐ中核インフラです。これらの機器が侵害された場合、攻撃者はネットワークトラフィックを監視または迂回し、内部システムへアクセスするための足場を確保できる可能性があります。特に管理インターフェースがインターネットに直接露出している場合、機器の種類、サービス構成、認証方式などが外部に露出し、攻撃者の初期偵察情報として利用される可能性があります。
本記事では、最近の共同セキュリティ勧告で再び言及されたCVE-2008-4128の技術的特徴を分析し、Criminal IP IT資産検索を通じて、現在インターネット上で観測されるCisco IOSベースのHTTP・HTTPS管理インターフェースの露出状況と実際の応答特性を考察します。
Cisco IOSのHTTP管理機能とCVE-2008-4128の概要
Cisco IOSは、ルーターやスイッチなどのCiscoネットワーク機器で使用されるオペレーティングシステムです。機器管理者は、コマンドラインインターフェースだけでなく、HTTPまたはHTTPSベースのWeb管理機能を通じて設定を確認または変更できます。
CVE-2008-4128は、Cisco IOS 12.4を使用するCisco 871 Integrated Services RouterのHTTP Administration Componentで発見されたCross-Site Request Forgery脆弱性です。管理者が機器のWeb管理インターフェースに認証済みの状態で、攻撃者が用意したWebページにアクセスした場合、管理者権限で意図しないコマンドが送信される可能性があります。NVDは、特定の管理URIを通じて、権限確認やコマンドエイリアス設定に関連するリクエストが実行される可能性があると説明しています。
この脆弱性は、認証されていない攻撃者が機器を即座に乗っ取るリモートコード実行脆弱性とは性質が異なります。攻撃が成功するには、管理者の有効な認証セッションとユーザー操作が必要です。しかし、管理インターフェースがインターネットに直接露出している場合、攻撃者はサービスの存在や認証方式を識別し、脆弱性悪用に向けた偵察および攻撃経路を構築できる可能性があります。
CVE-2008-4128は2008年に公開された古い脆弱性ですが、公開から長い時間が経過していることがリスクの終了を意味するわけではありません。サポートが終了した機器が交換されていない、または古いIOSバージョンが維持されている場合、既知の脆弱性であっても長期間にわたり攻撃対象領域として残り続ける可能性があります。最近の共同セキュリティ勧告でこの脆弱性が再び言及された背景にも、このようなレガシーネットワーク機器の継続的な運用があります。また、CISAは2026年7月13日、CVE-2008-4128を実際の悪用が確認されたKnown Exploited Vulnerabilities（KEV）Catalogに追加しました。
Criminal IP IT資産検索で確認したCisco IOS管理インターフェース
Criminal IP 検索クエリ: product: Cisco IOS
Criminal IP IT資産検索でproduct: Cisco IOS条件を使用して検索した結果、2026年7月15日時点で、Cisco IOS関連資産が合計4,757件確認されました。
このうち一部の結果はCisco IOS http configとして識別され、次のようなHTTPレスポンスを返していました。
HTTP/1.1
Status: 401 Unauthorized
Server: cisco-IOS
Serverヘッダーに表示されたcisco-IOSという文字列は、該当サービスがCisco IOSの組み込みHTTPサーバーを使用している可能性を示しています。また、401 Unauthorizedレスポンスは、認証されていないリクエストに対して管理コンテンツを提供せず、ユーザー認証を要求していることを意味します。
つまり、該当資産は管理ページの内部コンテンツが認証なしでそのまま公開されている状態というよりも、Cisco IOSベースの管理サービスが外部インターネットからアクセス可能な場所に露出し、認証要求に応答している状態と見ることができます。認証が適用されている場合でも、管理インターフェース自体が外部から識別・アクセス可能であれば、サービス情報の収集や認証攻撃の対象となり得るため、攻撃対象領域管理が必要な資産に該当します。
IOS自己署名証明書を利用したクロス分析
製品識別情報だけでは、検索対象が実際のCisco IOS管理サービスであるかどうかを判断しにくい場合があります。そのため、Cisco IOS機器で生成される自己署名証明書を基準に、HTTPSサービスを追加で分析しました。
Criminal IP 検索クエリ: ssl_subject_common_name: IOS-Self-Signed-Certificate
Criminal IP IT資産検索でssl_subject_common_name: IOS-Self-Signed-Certificateを検索した結果、2026年7月15日時点で、TLS証明書のSubject Common NameにIOS-Self-Signed-Certificateという文字列が含まれる資産が1,500件確認されました。
このうち一部の資産では、次のような特徴があわせて観測されました。
- Server: cisco-IOS
- 401 Unauthorizedステータスコード
- HTTPS（443/tcp）管理サービス
- Cisco IOS HTTP管理サービスの識別情報
- IOS-Self-Signed-Certificate形式のTLS証明書
特に一部の資産では、Server: cisco-IOSヘッダー、401 Unauthorizedレスポンス、Cisco IOS HTTP管理サービスの識別情報が同時に確認されました。これにより、Cisco IOSベースのHTTPS管理インターフェースが外部リクエストに直接応答している事例を具体的に確認できました。
ssl_subject_common_name条件は、TLS証明書のSubject Common Nameを基準に資産を識別します。そのため、検索結果にはIOS-Self-Signed-Certificate形式の証明書を使用するさまざまなHTTPSサービスが含まれる可能性があります。実際にCisco IOS管理インターフェースであるかどうかは、HTTPレスポンス、製品識別情報、サービスバナー、露出ポートなどをあわせて確認し、クロスチェックする必要があります。
実際のブラウザアクセスで確認された認証インターフェース
検索結果に含まれる一部の資産へブラウザでアクセスしたところ、ユーザー名とパスワードの入力を求める認証ダイアログが表示されました。
同一資産のHTTPレスポンスヘッダーを確認した結果、サーバーは次のような情報を返していました。
HTTP/1.1 401 Unauthorized
Server: cisco-IOS
WWW-Authenticate: Basic realm="level_15_access"
ブラウザに表示されたログインダイアログは、サーバーが401 UnauthorizedレスポンスとともにWWW-Authenticateヘッダーを返した結果です。ブラウザはこのヘッダーに基づいてHTTP Basic Authenticationの認証ダイアログを表示し、ユーザー認証が完了するまで管理コンテンツへのアクセスを制限します。この状態は、管理インターフェースの内部コンテンツが認証なしで公開されていることを意味するものではありませんが、外部ネットワークから認証要求を送信できる地点までアクセス可能であることを示しています。
管理インターフェースがインターネットに直接露出している場合、攻撃者は次のような情報を確認できます。
- Cisco IOSベースのサービスの存在
- 使用中のHTTPまたはHTTPSポート
- 認証方式
- TLS証明書および接続構成に関する情報
同一資産で確認された追加の管理サービス
Criminal IPで同一資産の露出ポートとサービス情報を追加で確認した結果、HTTPS 443番ポートだけでなく、SSH 22番ポートとTelnet 23番ポートも同時に外部へ露出している事例が確認されました。SSHバナーではCisco関連サービスの識別子が観測され、Telnetサービスではユーザー名の入力を求めるUser Access Verificationレスポンスが確認されました。これは、一つのネットワーク機器で複数のリモート管理経路が同時に運用されている可能性を示しています。
複数の管理サービスが同時にインターネットへ露出している場合、攻撃者はWeb管理インターフェースだけでなく、SSHやTelnetなど別のアクセス経路も探索できます。特にTelnetは通信内容を暗号化しないため、運用環境に残っている場合は、優先的に無効化するか、アクセス範囲を制限する必要があります。
最新ブラウザで接続できないHTTPSサービス
一部のCisco IOS関連資産は、最新ブラウザで接続した場合、ERR_SSL_VERSION_OR_CIPHER_MISMATCHエラーを返していました。ブラウザはサーバーと互換性のあるTLSプロトコルまたは暗号スイートを見つけられず、正常なHTTPS接続を確立できませんでした。
ブラウザの接続エラーとは別に、Criminal IPで確認した当該資産のTLS証明書では、IOS-Self-Signed-Certificate形式のCommon Name、SHA1-RSA署名アルゴリズム、1024ビットRSA公開鍵が観測されました。SHA1-RSA署名と1024ビットRSA公開鍵は、現在の推奨水準と比較すると古い暗号方式に該当します。ただし、ブラウザの接続エラーだけで機器モデルやIOSバージョンを特定することはできません。同様のエラーは、TLS設定や対応する暗号スイート構成によっても発生する可能性があります。
古いネットワーク機器が運用され続ける理由
ネットワーク機器は、一般的なサーバーやアプリケーションよりも交換サイクルが長い場合が多くあります。サービス停止リスク、複雑な設定移行、コストの問題により、サポートが終了した機器が運用環境に残り続けることもあります。
特に、支社、小規模拠点、遠隔施設、産業環境では、中央のセキュリティチームが機器の存在やファームウェア状態を正確に把握できていない場合があります。管理インターフェースが過去の設定のままインターネット上に残っていても、機器が通常どおり通信を処理していれば、問題に気づきにくいことがあります。攻撃者はこうした特性を利用します。最新のセキュリティ製品を直接攻撃するのではなく、長期間パッチが適用されていないルーターや管理インターフェースを探し、初期アクセス経路として利用する可能性があります。
今回の分析では特定の脆弱バージョンを確認したわけではありませんが、現在もCisco IOSベースのHTTP・HTTPS管理サービスが外部から観測されており、一部の資産ではレガシー暗号構成と推定される特徴もあわせて確認されました。これは、古いネットワーク管理環境が完全には排除されていない可能性を示しています。
セキュリティチームが確認すべき点検および対応策
Cisco IOS管理インターフェースは、外部攻撃対象領域管理の項目に含める必要があります。機器が正常に運用されている場合でも、管理サービスがインターネットに直接露出しているのであれば、アクセス制御方針と機器の状態を改めて確認する必要があります。
- 外部に露出したCisco IOS管理サービスを識別
Criminal IP IT資産検索で、product: Cisco IOSやssl_subject_common_name: IOS-Self-Signed-Certificateなどの条件を活用し、関連資産を探索します。検索されたIPアドレスが自社または関係会社の管理対象であるかを確認し、実際の機器の所有部門と運用目的を識別します。検索結果は候補資産を見つけるための出発点であるため、実際のサービス、機器モデル、IOSバージョン、認証設定を個別に検証する必要があります。 - HTTPおよびHTTPS管理インターフェースへの外部アクセスを制限
外部インターネットから機器を直接管理する必要がない場合は、80番および443番ポートへのアクセスを遮断します。管理作業は、専用管理ネットワーク、VPN、Bastion Host、または許可されたIPアドレス経由でのみ実施するよう制限します。401 Unauthorizedが返されるという理由だけで、露出リスクが解消されるわけではありません。認証インターフェースが外部に公開されている場合、攻撃者は認証攻撃や脆弱性探索を継続して試みることができます。 - 不要な管理サービスを無効化
HTTP、Telnet、FTPなど、使用していない管理プロトコルは無効化します。リモート管理が必要な場合は、暗号化されたSSHとHTTPSを使用し、アクセス制御リストを通じて許可された管理アドレスのみが接続できるように構成します。特にTelnetは認証情報とコマンドが暗号化されないため、外部だけでなく内部管理環境でも使用を停止することが望ましいです。 - 機器モデルとIOSバージョンを確認
管理権限がある環境では、show versionコマンドを使用して正確な機器モデルとIOSバージョンを確認します。該当バージョンがサポート終了状態であるか、既知の脆弱性の影響を受けるか、適用可能なセキュリティアップデートが存在するかを確認します。パッチ適用が不可能な機器については、ネットワークから隔離するか、交換計画を策定する必要があります。 - TLSおよび証明書構成を点検
SHA-1、1024ビットRSA、期限切れ証明書、旧式TLSプロトコルなどのレガシー暗号構成が使用されていないかを確認します。可能な場合は、最新のTLSバージョンと推奨暗号スイートを適用し、管理インターフェースには組織で管理する証明書を使用します。ただし、証明書を交換するだけで機器の脆弱性が解消されるわけではないため、IOSアップデートとアクセス制御をあわせて実施する必要があります。
結論
CVE-2008-4128は2008年に公開された古い脆弱性ですが、最近の国家支援型攻撃活動においてレガシーCiscoネットワーク機器が再び言及されたことで、古いインフラの管理問題が改めて注目されています。Criminal IPの分析結果から、現在もインターネット上でCisco IOSベースのHTTP・HTTPS管理サービスが多数観測されました。一部の資産では、cisco-IOSサーバーヘッダー、IOS自己署名証明書、HTTP Basic Authentication、SHA-1および1024ビットRSAベースの証明書といった特徴があわせて確認されました。
これらの結果だけで、該当資産がCisco 871である、またはIOS 12.4を使用していると断定することはできません。また、検索結果をCVE-2008-4128の脆弱資産数として解釈すべきでもありません。しかし、インターネット上でネットワーク機器の管理インターフェースが直接応答しており、一部のサービスがレガシー暗号構成を維持しているという事実は、それ自体が点検を必要とするシグナルです。
組織は、外部に露出したネットワーク管理サービスを継続的に識別し、機器のモデルとファームウェアバージョン、アクセス制御、認証方式、TLS構成をあわせて確認する必要があります。古い脆弱性は自然に消えるものではなく、影響を受ける機器が運用環境から取り除かれて初めて、攻撃対象領域から消えるものです。
なお、関連してBadCandy の脅威 — Cisco IOS XE Web UI 脆弱性（CVE-2023-20198）の現状と対応ガイド の記事もご参考いただけます。
Criminal IP（criminalip.io/ja/register）に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja), cyberpress(https://cyberpress.org/18-year-old-cisco-ios-vulnerability-exploited/), NSA(https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4541059/nsa-and-partners-release-guidance-on-improving-router-hygiene-to-protect-agains/), CISA(https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-194a), (https://www.cisa.gov/news-events/alerts/2026/07/13/cisa-adds-one-known-exploited-vulnerability-catalog)
