IOS-XEセキュリティアドバイザリ – 2026年8月および関連する重大な問題の修正

はじめに

このドキュメントでは、Cisco IOS® XEアドバイザリ2026年8月に公開された、強化されたセキュリティリリースに関して報告されたワイヤレスソフトウェアの不具合について説明します。

背景

このドキュメントでは、セキュリティアドバイザリ、FN74383 および重大な問題に対処するアップグレードガイダンスを提供します。

2026年8月5日、シスコは9800シリーズワイヤレスLANコントローラを含む複数のプラットフォームに影響を与えるCisco IOS XEセキュリティ強化アドバイザリをリリースしました。文書化されているように、このアドバイザリは、Cisco IOS XEエンジニアリングによる包括的な内部セキュリティレビューの結果として内部で発見された複数の脆弱性に対処します。

レビューに含まれるワイヤレスプラットフォーム

Catalyst Wireless 9800(C9800-L、C9800-CL、C9800-40、C9800-80)

Cisco Wireless 9800 WLC(CW9800L、CW9800M、CW9800H1/H2)

Catalystスイッチ(9800-SW)上の組み込みワイヤレス9800:SDA展開のみをサポート

COS ベースの Catalyst 11ax 91xx シリーズ アクセスポイント（9105/9115/9117/9120/9130/9136/9164/9166）

Cisco Wireless 917xシリーズアクセスポイント(CW9171/CW9172/CW9174/CW9176/CW9178/CW9179)

表 1.レビューに含まれるソフトウェアリリースと対応する強化リリース

*注:17.18.4aでは、すべてのスタンドアロンWLCがサポートされます。SDA環境のスイッチに組み込まれているワイヤレスLANコントローラの場合は、17.18.4スイッチリリースで動作する17.18.4ワイヤレスパッケージを使用してください。スイッチまたはワイヤレスパッケージには17.18.4aバージョンはありません。

重要なバグ

表1に示すセキュリティ強化されたリリースでは、これらのリリースの使用に影響を与える可能性のある、いくつかの重大な問題が特定されています。

• Cisco Bug ID CSCwv93265
• Cisco Bug ID CSCwv98483

重要なバグの詳細

注：このAPSPは、Essentialsライセンスをご利用のお客様も例外的に利用できます。ダウンロードできない場合に備えて、TACに問い合せて公開してもらってください。

修正済みリリース:

wireless mobility group member mac-address  ip  public-ip  group  data-link-encryption

アドバイザリおよび重大な問題に関するアップグレードガイダンス

セキュリティ強化されたリリースに関して報告されるアドバイザリ問題と重大な問題の両方に対処するために、シスコは以下を推奨します。

1. Cisco IOS XEバージョン17.12、17.15、17.18を実行しているワイヤレス環境のお客様は、ステップ2、3、および4に進みます。Cisco IOS XEバージョン17.9および26.1を実行しているワイヤレス環境のお客様は、アップグレードする前に、APSPパッチがcisco.comに公開されるのを待ちます。パッチのリリース日については、表2を参照してください。
2. アップグレードの前に、ここに記載されているアップグレードチェックと回復手順を実行して、FN74383による影響を緩和してください。
3. セキュリティ強化されたCisco IOS XEバージョンとAPSPパッチを同じメンテナンス時間帯にアップグレードすることで、ワイヤレスサービスへの影響を回避します。
4. Cisco Bug ID CSCwv98483の影響を受ける場合は、SMUが使用可能になるまで回避策を適用します。SMUがポストされると、お客様はSMUパッチを適用する必要があります。

Cisco IOS XEアップグレード+パッチのメンテナンス時間帯を計画する際のダウンタイムに関する考慮事項

非冗長または高可用性(HA)冗長構成で構成された9800 WLC上のCisco IOS XEアップグレードでは、次のようなさまざまなメカニズムを利用できます。

• In-Service Software Upgrade（ISSU）
• N+1ローリングアップグレード
• ワンショットアップグレード

詳細については、『9800 WLCアップグレードクイックスタートガイド』を参照してください。

さらに、重大な問題には、ソフトウェアメンテナンスアップデート(SMU)とアクセスポイントのサービスパック(APSP)によるパッチ適用が必要です。

9800 WLCでサポートされる各種のパッチングオプションの詳細については、『9800 WLC用のパッチ適用およびローリングAPアップグレードガイド』を参照してください。

Cisco IOS XEアップグレード+各アップグレードメカニズムでのパッチ適用のメンテナンス期間を計画するには、このセクションで説明するダウンタイムと影響を考慮してください。

In-Service Software Upgrade（ISSU）

• HA Stateful Switchover(HA SSO)設定で実行されている9800 WLCペアだけに適用され、長期間使用されるリリーストレインとそれらのメンテナンスリリースの間でのみサポートされます。（メンテナンスリリースのないエスカレーションリリースおよび短期リリーストレインではサポートされません）。
• ISSUは、異なるソフトウェアバージョンを実行し、ローリングAPアップグレードを活用しながら、HA SSOで9800ペアをサポートすることにより、シームレスなアップグレードエクスペリエンスを提供します。稼働中の9800 HAペアでは、スタンバイWLCがアップグレードされ、SSO後には新しいスタンバイWLCがアップグレードされます。ISSUプロセスと、対応するCLIおよびGUIスナップショットの詳細については、「ISSUを使用した9800 HA SSOのアップグレード」を参照してください。
• ISSUを開始する前に、APでアップグレードチェックと回復を実行します。
• ISSUでは、アップグレード期間を簡単に予測できません。導入の規模やネットワーク速度によっては、アップグレードが完了するまでに複数の「時間」を要することがあります。
• さらに、ISSUではローリングAPアップグレードを活用し、段階的にAPをリブートすることでダウンタイムを最小限に抑えています。ただし、この場合、強化されたリリースを実行しているAPに接続しているクライアントで、ISSUアップグレード後にWLCにパッチが適用されるまでは、Cisco Bug ID CSCwv93265およびCSCwv98483に記載されている接続とローミングの問題が発生し続けることを意味します。
• Cisco Bug ID CSCwv98483のSMUは、WLCのリロードを必要とするコールドパッチです。
• Cisco Bug ID CSCwv93265のAPSPは、ローリングAPアップグレードを使用して、またはワンショットで適用できます。ローリングAPアップグレードを使用する場合、導入の規模によっては、すべてのAPをアップグレードするのに数時間かかる可能性があり、既知の重大な不具合を確実に回避できます。
• サービスに影響する可能性のある合計期間（WLCまたはAPがダウンしているか、クライアント接続/ローミングが影響を受けている） = ISSUの完了までの時間+ SMUコールドパッチによるWLCのリロードまでの時間+ APSPのAPローリングアップグレードまでの時間

N+1ローリングAPアップグレード

• この手順は、「実稼働」の9800ペアまたは9800スタンドアロンがアップグレードされている間に、N+1 WLCと呼ばれるスペアの9800 WLCを使用してソフトウェアバージョンをホストAPにアップグレードすることに依存しています。N+1ローリングアップグレードを開始する前に、このN+1 9800 WLCにAPを登録しないことをお勧めします。
• プライマリWLCに登録されているAPで、アップグレードチェックと回復を実行します。
• プロセスと、関連するCLIおよびGUIスナップショットの詳細については、『N+1ローリングAPアップグレードを使用した9800 WLCのアップグレード』を参照してください。
• このプロセスでは、APがプライマリWLCからN+1 WLCにシームレスにロールオーバーするためには、N+1 WLCで実行され、APに事前にダウンロードされたソフトウェアバージョンが完全に一致している必要があります。
• APへの事前ダウンロードは、プライマリWLCでCisco IOS XE強化リリースをダウンロードし、アクティブ化しないことによって容易になります。イメージをアクティブ化しないと、ソフトウェアパッチをAPに適用したり、事前にダウンロードしたりすることはできません。これは、N+1 WLCにもパッチを適用できないことを意味します。
• ISSUのようにこのプロセスでも、N+1 WLCにロールオーバーされたAPは、N+1 WLCにパッチが適用されるまでは、ローリングAPアップグレードの終了後、クライアント接続とローミングの問題が引き続き発生する可能性があります。この問題は、Cisco Bug ID CSCwv93265およびCSCwv984836で0で0について説明されています。
• Cisco Bug ID CSCwv98483のSMUは、WLCのリロードを必要とするコールドパッチです。
• Cisco Bug ID CSCwv93265のAPSPは、ローリングAPアップグレードを使用して、またはワンショットで適用できます。ローリングAPアップグレードを使用する場合、導入の規模によっては、すべてのAPをアップグレードするのに数時間かかる可能性があり、既知の重大な不具合を確実に回避できます。
• サービスが影響を受ける（WLCまたはAPがダウンしているか、クライアント接続/ローミングが影響を受ける）可能性のある合計期間=すべてのAPがN+1 WLCにロールオーバーするのにかかった時間+ SMUコールドパッチが原因でWLCがリロードするまでの時間+ APSPのAPローリングアップグレードまでの時間
• メンテナンス時間帯には、N+1 WLCをCisco IOS XE強化リリースにアップグレードするために要した時間、およびAPがCisco IOS XE強化リリースをプライマリWLCから事前にダウンロードするために要した時間も考慮してください。ただし、これらのいずれもサービスに影響しません。

N+1通常のAPアップグレード：推奨

• この手順は、「実稼働」の9800ペアまたは9800スタンドアロンがアップグレードされる間にソフトウェアバージョンがホストAPにアップグレードされたN+1 WLCとしてスペアの9800 WLCコールに依存します。
• N+1ローリングアップグレードを開始する前に、このスペア9800 WLCにAPを登録しないことをお勧めします。
• スペアのN+1 WLCは、強化されたCisco IOS XEの有効化/コミットにアップグレードでき、APSPおよびSMUを使用してパッチを一括で適用できます。APが登録されていない場合、これはサービスに影響しませんが、メンテナンス時間帯をスケジュールするときに複数のWLCのリロードにかかる時間を考慮する必要があります。
• APが登録されているプライマリWLC GUIで、Configuration > Tags and Profiles: AP Priming > Primary Baseに移動します。
  • N+1 WLCとワイヤレス管理インターフェイス(WMI)のIPアドレスをプライマリとして定義します。
  • セカンダリで現在のプライマリWLC名とWMI IPを定義します。
• 正規表現フィルタを使用して、APをプライマリWLCからN+1 WLCに一括移行します。
• N+1 WLCに登録されたAPでは、セキュリティが強化されたリリースと、重大な不具合を修正するパッチがすでに実行されています。

サービスに影響する可能性のある合計期間（WLCまたはAPがダウンしているか、クライアント接続/ローミングが影響を受ける） = APがプライマリWLCからN+1 WLCに移行するのにかかる時間。これは、APとWLC間のネットワーク速度によって決定されます。

ワンショットアップグレード：N+1 WLCが存在しない場合に推奨

• この手順では、プライマリWLCを（アクティベーションとコミットメントとともに）セキュリティ強化されたCisco IOS XEリリースに1ステップでアップグレードします。
• イメージアクティベーションの一部として、プライマリWLCがリロードされ、すべてのAPがアップグレードプライマリWLCに再登録され、セキュリティが強化されたCisco IOS XEリリースを受け取ります。
• APSPが適用されるまで、APはCisco Bug ID CSCwv93265およびCSCwv98483に記載されているクライアント接続およびローミングの問題のリスクがあります。

サービスが影響を受ける（WLCまたはAPがダウンしているか、クライアント接続/ローミングが影響を受ける）可能性がある合計期間=プライマリWLCのリロードにかかった時間+すべてのAPがCAPWAP経由でプライマリWLCから強化されたCisco IOS XEリリースをダウンロードし、プライマリWLCに再登録にかかった時間（SMUパッチが適用されている場合は2倍）+すべてのAPがプライマリWLCからAPSPパッチををダウンロードしてしてプライマリWLCに再登録再登録

FAQ