Cisco Secure Firewall ASA／FTD（会社や学校のネットワークの出入口に置く、ファイアウォール装置のソフト）の脆弱性CVE-2026-76418が、2026年10月29日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。Ciscoは10月28日の告知で、10月に悪用の発生を把握したと書いています。SSL VPN（外から社内に接続するVPN）で二次認証を設定している装置が、認証なしで送られる細工された要求で、再起動させられる（DoS）恐れがあります。修正版が出ています。公式の回避策はなく、緩和策が1つ示されています。
自分の組織が使っているかは、ネットワークの担当者に確認してください。対象になるのは、ASA／FTDを使い、SSL VPNのログイン画面が外から届き、さらにVPNの接続設定（トンネルグループ）に二次認証がある構成です。個人のパソコンやスマホは対象ではありません。
スコアの出どころ：8.6（CVSS v3.1）は、NVDに載っている、CVE番号を付けた側（Cisco）の評価です。ベクターは「ネットワークから・攻撃の複雑さ低・権限不要・利用者の操作不要・影響範囲が広がる・可用性への影響が高」で、情報の漏えいや装置の乗っ取りではなく、装置が止まることが影響です。NVDには、NIST自身のスコアは見当たりませんでした。NIST自身のスコアが付くと、この数字は変わる可能性があります。
何が起きているのか（公表されている範囲）
- ▸CVE-2026-76418：Ciscoの告知によると、ASA／FTDのSSL VPN（リモートアクセスVPN）に、「トンネルグループに二次認証を設定したときの論理の誤り」による欠陥があります。認証なしの攻撃者が、SSL VPNへの接続時に細工した要求を送ると、装置が予期せず再起動し、サービス停止（DoS）になります。ログインに成功する必要はありません
- ▸Ciscoの告知：10月28日公開。「2026年10月に、Cisco PSIRT（製品の脆弱性対応チーム）が、この脆弱性の悪用が行われていることを把握した」と書いています。この欠陥は、Ciscoのサポート案件の解決中に見つかったとされています
- ▸CISAのKEV：10月29日に追加され、対応期限は11月1日です（米国の連邦機関向けの期限）。ランサムウェア攻撃での利用は「不明」と記載されています。KEVの項目に、攻撃者の名前は載っていません
- ▸弱点の種類：KEVは「戻り値のチェック漏れから、NULLポインタの参照に至る」欠陥としています（CWE-690）
影響を受ける構成と、上げるべき版
- ▸影響を受ける条件（Cisco）：次の3つがすべて当てはまる装置です。①脆弱な版のASAまたはFTDを動かしている。②SSL VPNのログイン画面が外から届く。③トンネルグループの範囲で二次認証が設定されている。設定に「webvpn」があり、SSL VPNがいずれかのインターフェースで有効なら、上の②の状態です。二次認証は、トンネルグループの「secondary-authentication-server-group」で確認します。「tunnel-group-list enable」があれば、既定のトンネルグループ「DefaultWEBVPNGroup」を含めてすべて見ます。一覧を出していなくても、既定のトンネルグループに二次認証があれば影響を受けます
- ▸ASAの修正版（最初の修正版）：9.16以前は9.16.4.104、9.18は9.18.4.96、9.20は9.20.4.50、9.22は9.22.3.200、9.23は9.23.1.48、9.24は9.24.1.27または9.24.10.1
- ▸FTDの修正版（最初の修正版）：7.0以前は7.0.11、7.2は7.2.13、7.4は7.4.9、7.6は7.6.7、7.7は7.7.14、10.0は10.0.3、10.1は10.1.1
- ▸影響を受けない製品（Ciscoが確認）：Cloud-delivered Firewall（CDFW）、Cloud-delivered Firewall Management Center（cdFMC）、Secure Access、Secure FMC
今日やること
- ✓★ASA／FTDの版を確認する。上の修正版より前なら対象の可能性があります。FTDは、管理センター（FMC）や管理ツール（FDM）の画面で、配置済みのリモートアクセスVPNの設定を確認します
- ✓★修正版へ更新する。更新前に、設定のバックアップを取り、停止してよい時間帯を決めます。Ciscoは、修正版への更新を強く勧めています
- ✓設定を確認する。SSL VPNが有効か、二次認証が設定されたトンネルグループがあるかを見ます。該当しなければ、この欠陥の影響は受けませんが、版は上げておきます
- ✓原因の分からない再起動がなかったかを、ログで確認する。この欠陥が悪用されると装置が再起動するためです（これは当サイトの確認の勧めで、Ciscoが示した手順ではありません）
- ✓インターネットに公開しているVPN装置を最優先にする。KEVに追加された事実が、順番の根拠です
すぐ更新できないとき
Ciscoは「この脆弱性に対する回避策はない」としたうえで、緩和策を1つ示しています。それは、ユーザーが設定したトンネルグループの一覧と、既定のトンネルグループ「DefaultWEBVPNGroup」で、二次認証を無効にすることです。既定のトンネルグループが二次認証を使っていないときは、WebVPN設定モードで「no tunnel-group-list enable」を入力して、トンネルグループの一覧を無効にします（利用者は、一覧から接続プロファイルを選べなくなり、正しいプロファイル名を知っている必要があります）。既定のトンネルグループが二次認証を使っているときは、「no secondary-authentication-server-group」で二次認証を外します。ただし、二次認証を外すと、リモートアクセスVPNの安全性は下がります。Ciscoは、導入の前に、自分の環境への影響を確かめるよう求めています。これは更新までの一時的な措置で、修正版への更新が先です。
確認できなかったこと
- ▸攻撃の規模・攻撃者。確認できた資料に、件数や攻撃者の情報はありませんでした
- ▸日本国内の被害。この記事では示せません
- ▸NISTによるスコア。NVDには、Ciscoの評価だけがありました
- ▸修正版の入手方法や、契約の条件。この記事では確認していません。Ciscoの告知で確認してください
共有するならこの3行
- ▸CiscoのASA／FTDのCVE-2026-76418が、10月29日にCISAの「悪用確認」カタログ（KEV）に追加された。SSL VPNで二次認証を設定した装置が、細工した要求で再起動する（Ciscoは10月に悪用を把握）
- ▸★ASA／FTDの版を見て、9.20なら9.20.4.50、FTD 7.4なら7.4.9など、使っている系統の修正版へ。VPN担当者へ「該当するか」を聞く
- ▸公式の回避策はなく、「二次認証を外す」緩和策だけ。ただし安全性が下がるので、更新が先