Cisco製ファイアウォールのVPNに脆弱性、再起動させる攻撃を確認

やること

Cisco Secure Firewall ASA と Secure Firewall Threat Defense（FTD）は、社内ネットワークの出入口に置くファイアウォールです。社外からつなぐ SSL VPN を使っている場合は、上の表の修正版へ更新してください。

Cisco はこの脆弱性を解消する回避策はないとしています。更新までの一時的な緩和策は、設定によって2通りあります。

• 既定のトンネルグループ（DefaultWEBVPNGroup）に二次認証がない場合：WebVPN モードで no tunnel-group-list enable を実行します。利用者はログイン画面のグループ一覧から接続先を選べなくなります
• DefaultWEBVPNGroup に二次認証がある場合：no secondary-authentication-server-group で二次認証を外します。ただし VPN の安全性は下がります

Cisco は、どちらも一時的な措置であり、修正版への更新を強く勧めています。

何が危ないのか

Cisco は日本時間の10月29日に CVE-2026-76418 を公表しました。CVSS（v3.1）は 8.6 で、Cisco の評価は High です。影響は機器の停止だけで、情報の漏えいや改ざんは評価に含まれていません。

欠陥は SSL VPN への接続処理にあります。認証されていない攻撃者が細工した要求を送ると、機器が予期せず再起動し、その間は通信が止まります。FTD では、VPN へのログインに成功している必要はありません。

Cisco は10月に、この脆弱性が実際に悪用されていることを把握したと記載しています。手口、攻撃者、被害の範囲は公表されていません。米国の CISA は10月29日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。

公告には、ログの特定の文字列や侵害の痕跡（IOC）は載っていません。示されている症状は、機器が予期せず再起動することです。再起動の記録が、手がかりのひとつになります。

自社の機器が対象かを見分ける

次の3つがそろうと対象です。

• 修正版より前の ASA または FTD を使っている
• SSL のリモートアクセス VPN が有効になっている（実行中の設定に webvpn があり、少なくとも1つのインターフェースで有効）
• いずれかのトンネルグループに、二次認証（secondary-authentication-server-group）を設定している

見落としやすいのは、ログイン画面に出ていないトンネルグループです。tunnel-group-list enable を有効にしている場合は、一覧に出ていないものも含めて、すべてのトンネルグループを見る必要があります。この設定が無い、または無効でも、DefaultWEBVPNGroup に二次認証があれば対象です。

確認の場所は、ASA では実行中の設定です。FTD は、Secure Firewall Management Center の「Devices > VPN > Remote Access」のポリシー、または Firewall Device Manager のリモートアクセス VPN の設定です。Cisco は、修正版の確認に、公式の Software Checker を使うよう案内しています。

対象

Cloud-delivered Firewall、Cisco Secure Access、Secure FMC などは対象外です。発見者として、Cisco のサポート窓口への問い合わせの対応中に、Eric Fernald 氏が見つけたと記載されています。