CVE-2008-4128（Cisco IOS）とは
CVE-2008-4128 は、Cisco IOS に見つかった脆弱性です。種類は「クロスサイトリクエストフォージェリ（CSRF）」（CWE-352）に当たります。
CVE-2008-4128 とは
「クロスサイトリクエストフォージェリ（CSRF）」は、利用者が意図しない操作を、ログイン中の権限で行わせてしまう種類の弱点です。
NVD の CVSS の評価は、まだ公表されていません。
米国の CISA は、この脆弱性が実際の攻撃に悪用されたことを確認し、2026年7月13日にKEV カタログ（悪用が確認された脆弱性の一覧）に載せました。ランサムウェアの攻撃での悪用は、CISA の一覧では「不明（Unknown）」とされています。
- 製品
- Cisco IOS
- 開発元
- Cisco
- 種類（CWE）
- クロスサイトリクエストフォージェリ（CSRF）（CWE-352）
- KEV の掲載日
- 2026年7月13日
- ランサムウェアでの悪用
- 不明（Unknown）
- CVE の公開日・更新日
- —
- KEV の脆弱性名（原文）
- Cisco IOS Cross-Site Request Forgery Vulnerability
NVD の概要（英語の原文）
Cisco IOS 12.4 contains multiple cross-site forgery vulnerabilities that allows remote attackers to execute arbitrary commands via (1) a certain "show privilege" command to the /level/15/exec/- URI, and (2) a certain "alias exec" command to the /level/15/exec/-/configure/http URI.
出典：NVD（CVE の記述。This product uses data from the NVD API but is not endorsed or certified by the NVD.）
影響と対応
- 対応期限
- 2026年7月16日
CISA が米国の連邦政府機関に求めている期限です。日本の企業に向けた期限ではありませんが、対応の順番を決める目安になります。 - 修正版・回避策
- 修正版のバージョンや回避策は、開発元の公表で確かめてください。この表では、修正版の有無や番号を判断していません。
原典
確かめることの観点
Cisco IOS について、社内と委託先で次の 4 点を確かめると、対応の要否と順番を決めやすくなります。
- 自社で使っているか社内の機器・サーバー・クラウドの一覧で、Cisco IOS を使っているか、使っている場合はバージョンを確かめます。
- 委託先が使っているかシステムの保守・運用・開発を任せている委託先や、データを預けているサービスで、Cisco IOS を使っているかを尋ねます。
- 修正の状況開発元が公表している修正版の適用や回避策の実施が済んだか、済んだ日はいつかを確かめます。CISA の対応期限（2026年7月16日）も順番の目安になります。
- 痕跡の確認開発元や公的機関が痕跡（不正な操作の跡）の確かめ方を公表していれば、それに沿って確認したか、結果はどうだったかを確かめます。
委託先への照会の文面（下書き）
御社のメールに写して、宛先・期日を直してお使いください。当社は照会を送らず、送った内容や回答も預かりません。
件名：Cisco IOS の脆弱性（CVE-2008-4128）への対応状況のご確認
〇〇株式会社 ご担当者様 いつもお世話になっております。 Cisco IOS の脆弱性（CVE-2008-4128）について、米国 CISA が悪用を確認したと公表しています。 弊社の業務に関わる範囲で、次の点を教えていただけますでしょうか。 1. 弊社の業務で Cisco IOS をお使いかどうか（お使いの場合は、バージョン） 2. 開発元が公表している修正版の適用、または回避策の実施の状況と、その日付 3. 開発元や公的機関が公表している痕跡の確認を行ったかどうかと、その結果 4. 弊社のデータへの影響の有無（確認中の場合は、その旨と次のご連絡の目安） 恐れ入りますが、〇月〇日までにご回答いただけますと幸いです。 どうぞよろしくお願いいたします。
関係するレポート
この CVE のレポートはまだありません。ほかの事件のレポートは事件の一覧から、届く文書の中身は見本のレポートで見られます。