Cisco ASAの脆弱性CVE-2026-76418｜FTDも対象、悪用確認、VPN経由の再起動と修正版

Ciscoは2026年10月28日（日本時間10月29日）に、ASAとFTDのリモートアクセスSSL VPNの脆弱性CVE-2026-76418を公表しました。トンネルグループに二次認証を設定したときの処理の誤りが原因で、SSL VPNへの接続時に細工した要求を送られると、機器が予期せず再起動し、サービス停止（DoS）になります。[1]

攻撃に認証は要りません。深刻度はCiscoの評価でCVSS 3.1の8.6（高）で、影響は可用性だけです。弱点の分類はCWE-690（戻り値を確かめずにNULLポインターを参照する）です。[1][3]

修正前のASA・FTDの版で、SSL VPNのログインが届き、トンネルグループに二次認証が設定されている機器が対象です。[1]

FTDのリモートアクセスVPNは、Secure Firewall Management Center（FMC）の Devices > VPN > Remote Access、またはSecure Firewall Device Manager（FDM）の Remote Access VPN で有効にします。FTDでは、展開したリモートアクセスVPNのポリシーと、機器の実行中の設定を確かめます。[1]

Ciscoは、Cloud-delivered Firewall（CDFW）、Cloud-delivered Firewall Management Center（cdFMC）、Secure Access、Secure FMC Softwareは対象外と確認しています。[1]

CiscoのPSIRTは、2026年10月にこの脆弱性の悪用を把握しました。[1]米CISAは10月29日（米国の日付）にKEVへ追加し、対応の期限を11月1日としました。[2][4]

攻撃の手口、被害の範囲、侵害の痕跡は、Ciscoの告知に記載がありません。[1]JPCERT/CC・IPAの注意喚起は出ていません（2026-11-02確認）。

リモートアクセスSSL VPNは社外からの接続を受けるため、SSL VPNのログインが外から届く機器が対象になりえます。[1]

本社・拠点・クラウド上の仮想版（ASAv・Firepower NGFW Virtual）を含めてASA・FTDを一覧にし、SSL VPNを有効にしているインターフェースと、二次認証の有無を書き出します。保守を委託している機器も含めます。

修正版は系列ごとに違います。ASAは9.22系なら9.22.3.200、9.20系なら9.20.4.50、FTDは7.4系なら7.4.9、7.6系なら7.6.7が最初の修正版です。9.16より前のASAは9.16.4.104、7.0より前のFTDは7.0.11に上げます。[1]

Ciscoは、回避策や緩和策は修正版に上げるまでの一時的な策だとして、修正版への更新を強く勧めています。[1]

CiscoのSoftware Checkerで、ソフトウェア（ASA・FTD）、機種、今の版（ASAは9.20.3.4、FTDは7.4.2の形）を入れると、当てはまるアドバイザリと最初の修正版が出ます。ほかのアドバイザリもまとめて直る版（Combined First Fixed）も確かめられます。[1]

今の版は次の方法で確かめます。FTDは、機器のCLIでshow versionを実行すると、動いているFTDの版が出ます。[5]ASAをフェイルオーバーの組（Active/Standby）で使っている場合は、show failoverの出力のVersionの行（例：Version: Ours 9.16(4), Mate 9.16(4)）か、ASDMの Monitoring > Properties > Failover > Status で、2台の版を確かめられます。[6]単体のASAの版の確かめ方と更新の手順は、Ciscoの「Cisco Secure Firewall ASA Upgrade Guide」（日本語版「ASA のアップグレード」）にあります。[7]

1. 機器ごとに、ASAかFTDか、版、機種を確かめます。
2. Software Checkerで、今回の件とほかの重大・高のアドバイザリを合わせて確かめ、上げる先を決めます。
3. ASAは「Cisco Secure Firewall ASA Upgrade Guide」、FTDはFMCの更新の手引きに沿って上げます。アドバイザリが推奨リリースより新しい版を示すときは、アドバイザリに従います。[1][7]
4. 上げた後に、上の方法でもう一度版を確かめ、修正版以上になったかを確かめます。

保守の会社に頼むときは、機器と版、SSL VPNの有無、二次認証の有無（02の表）、上げる先（Software Checkerの結果）を伝え、上げるまでの間に緩和策を当てるかを決めます。

Ciscoは、回避策は無いとしたうえで、二次認証を外す緩和策を示しています。[1]

• 既定のDefaultWEBVPNGroupが二次認証を使っていない場合：WebVPNの設定モードでno tunnel-group-list enableを入れ、トンネルグループの一覧を無効にします。利用者は一覧から接続プロファイルを選べなくなり、正しいプロファイル名を知っている必要があります。
• DefaultWEBVPNGroupが二次認証を使っている場合：no secondary-authentication-server-groupで二次認証を外します。リモートアクセスVPNの安全性は下がります。

Ciscoは試験の環境で効果を確かめたとしつつ、機能・性能・安全性への影響を自社の環境で評価してから当てるよう求めています。[1]