Ing. Calogero Bono
Ciscoは、Secure Firewall ASAおよびSecure Firewall Threat Defense（FTD）ソフトウェアのサービス拒否（DoS）脆弱性に対する更新プログラムを公開しました。Ciscoによると、同社のセキュリティチームが2026年10月に実際の悪用を検知しており、すでに攻撃に使われています。認証情報を持たない攻撃者が、遠隔からファイアウォールを再起動させることができます。リモートアクセスがこの機器を経由している場合、強制的な再起動によって、オフィスや在宅勤務でVPNが使えなくなります。
事実に入る前に、いくつかの用語を確認しておきます。ゼロデイとは、修正プログラムが存在する前に悪用される脆弱性のことです。DoS（サービス拒否）は、サービスを利用不能にする攻撃を指します。SSL VPNは、社外から社内ネットワークへアクセスするための暗号化トンネルです。トンネルグループは、ファイアウォールに設定された接続プロファイルを指します。二次認証は、そのプロファイルで求められる追加の本人確認です。
何が起きたのか
問題はリモートアクセスのSSL VPNサービスにあり、Ciscoの公式アドバイザリで説明されています。原因は、トンネルグループに二次認証を設定した場合のロジックの誤りです。SSL VPN接続の途中で細工されたリクエストを送るだけで、機器が再起動してしまいます。
この脆弱性はCVE-2026-76418として追跡されています。The Hacker NewsはCVSSスコア8.6と報じ、BleepingComputerは高い深刻度と評価しています。もっとも重要な点は別にあります。Ciscoによると、脆弱な箇所に到達するためにVPNへの正常なログインは必要ありません。
どの機器が脆弱か
すべてのCisco製ファイアウォールが危険にさらされるわけではありません。Ciscoは、次の3つの条件がすべて揃う必要があるとしています。
- 機器が脆弱なASAまたはFTDのリリースを実行している。
- SSL VPNのログインサービスに到達できる。
- トンネルグループで二次認証が設定されている。
設定の確認方法
設定にwebvpnという記述があり、少なくとも1つのインターフェースでSSL VPNが有効になっている場合、その設定は露出しています。次に、トンネルグループでsecondary-authentication-server-groupの項目を確認します。tunnel-group-list enableが存在する場合は、DefaultWEBVPNGroupを含むすべてのグループを確認してください。存在しない、または削除されている場合でも、デフォルトグループが二次認証を使っていれば確認が必要です。リストを無効にしても、そのグループの露出が消えるわけではないためです。FTDでは、FMCまたはFDMのリモートアクセスポリシーを確認します。
Ciscoは、Cloud-delivered Firewall、cdFMC、Secure Access、Secure FMC Softwareは影響を受けないと明記しています。
どのバージョンで修正されるか
Ciscoは更新プログラムを公開しました。以下は各ブランチで最初に修正されたリリースです。
- ASA 9.16以前、9.16.4.104
- ASA 9.18、9.18.4.96
- ASA 9.20、9.20.4.50
- ASA 9.22、9.22.3.200
- ASA 9.23、9.23.1.48
- ASA 9.24、9.24.1.27および9.24.10.1
- FTD 7.0以前、7.0.11
- FTD 7.2、7.2.13
- FTD 7.4、7.4.9
- FTD 7.6、7.6.7
- FTD 7.7、7.7.14
- FTD 10.0、10.0.3
- FTD 10.1、10.1.1
本格的な回避策はありません。ただし一時的な緩和策はあります。DefaultWEBVPNGroupが二次認証を使っていない場合は、no tunnel-group-list enableでトンネルグループのリストを無効にします。使っている場合は、no secondary-authentication-server-groupで削除できますが、Ciscoはこの方法ではリモートアクセスのセキュリティが低下すると警告しています。それでもCiscoは更新を推奨しています。
Ciscoを狙ったほかの攻撃の背景
BleepingComputerによると、今回は例外ではありません。前年9月、Ciscoは5500-Xシリーズの機器で悪用されたゼロデイであるCVE-2025-20362とCVE-2025-20333を修正しました。同日、米国のCISAは緊急指令25-03を発令し、連邦機関に24時間の対応期限を課しました。Ciscoはこれらの攻撃をArcaneDoorキャンペーンと関連付けています。
同メディアは、8月に修正されたもう1つのDoSゼロデイ、CVE-2026-20349にも触れています。同じ月には、Secure Email Gatewayの脆弱性CVE-2026-76519も修正されました。CISAは2021年11月以降、悪用が確認されたCisco関連の脆弱性を101件報告しており、そのうち7件はランサムウェアグループにも悪用されています。
知っておくべき制限事項
多くの情報が不足しています。Ciscoは侵害の指標を提供しておらず、攻撃者が誰か、誰が標的になっているか、攻撃がいつ始まったかも明らかにしていません。そのため、活動の規模はわかっていません。
BleepingComputerによると、Shadowserverはインターネットに公開されたSSL VPN付きのASA機器を51,000台以上追跡しています。ただし、そのうち何台がすでに更新済みか、あるいはハニーポットかは示されていないため、脆弱な機器の数ではありません。さらに、緩和策はCiscoがテスト環境で検証したものなので、各自の環境に照らして評価する必要があります。
デジタル業務への影響
Cisco製ファイアウォールを使う小規模企業にとっての実際の影響は、リモートアクセスの停止です。必ずしもデータが盗まれるわけではありません。それでも、在宅勤務や現場から働く人が接続できなくなるという損害は発生します。ファイアウォールの管理を外部業者に任せている場合は、今日中に導入されているバージョンと二次認証の有効化状況を確認してください。
インフラを管理する人にとっての教訓は、境界防御です。インターネットに公開されたリモートアクセスは、重要なサービスとして扱う必要があります。資産管理、更新の時間枠の確保、監視を徹底してください。アクセス制御の基本については、スマートワーク向けVPNに関する当サイトの解説が参考になります。公開しているサーバーについては、セキュリティ更新付きのマネージドサーバーを利用すれば、今回のような警告を追いかけ続ける必要がなくなります。
編集部の見解
この件には皮肉な面があります。二次認証はセキュリティ対策ですが、その設定そのものが機器停止の入口になってしまいました。緩和策では二次認証を外すことが推奨されており、管理者は可用性と保護のどちらを取るかという、厄介な選択を迫られます。
情報が少ないことにも問題があります。侵害の指標がないまま悪用されていると知らされても、防御側は手がかりを失います。ログに特定の痕跡がないかを確認することもできません。だからこそ、来るかどうかわからない詳細を待つのではなく、今すぐ更新することが唯一の現実的な方法だと考えます。
よくある質問
この脆弱性でデータが盗まれる可能性はありますか？
情報源によると、その可能性はありません。Ciscoが説明しているのは予期しない機器の再起動、つまりサービス拒否のみです。この脆弱性を通じてデータにアクセスされたという兆候は示されていません。
悪用にはVPNアカウントが必要ですか？
いいえ。攻撃者は認証されておらず、遠隔から攻撃できます。Ciscoは、脆弱な箇所に到達するためにVPNへの正常なログインは不要だと明記しています。
すぐに更新できない場合の対策はありますか？
一時的な対策に限られます。トンネルグループの二次認証を無効にするか、デフォルトグループが二次認証を使っていない場合はトンネルグループのリストを無効にします。Ciscoは、これは暫定的な措置であり、セキュリティを低下させる可能性があると注意しています。
脆弱性の深刻度はどの程度ですか？
深刻度は高いとされています。The Hacker Newsは、CVSSスコア8.6と報じています。Ciscoも悪用が実際に起きていることを確認しています。
自分の機器のバージョンが影響を受けるか、どう確認できますか？
使用中のリリースを、アドバイザリの更新プログラム一覧と照らし合わせてください。Ciscoは、特定のバージョンに関連するアドバイザリを確認できるCisco Software Checkerも提供しています。
今後数週間で注目すべき点
攻撃に関する情報と、その規模についてはまだ不明な点が残っています。当面は次の3点に取り組むことができます。
- ファイアウォールのバージョンと設定を確認し、修正済みのリリースへの更新を今すぐ計画する。
- すぐに更新できない場合は、セキュリティ低下のリスクを理解したうえで、緩和策について業者と検討する。
- Ciscoのアドバイザリを継続的に確認し、侵害の指標や更新情報を把握する。
