OWN NEWS GATHER
← 戻る
The Hacker News

Ciscoのファイアウォール製品「ASA」「FTD」に深刻な脆弱性、悪用を確認―細工されたHTTPリクエストで遠隔から再起動・DoSの恐れ

要点

  • Ciscoのファイアウォールソフトウェア「ASA」および「FTD」に、未認証の第三者が遠隔からサービス運用妨害（DoS）を引き起こせる高深刻度の脆弱性が確認された。

  • 該当する機器でRemote Access SSL VPNなどの特定機能が有効な場合、細工されたHTTPリクエストを受信することでデバイスが再起動（リロード）する危険性がある。

  • 回避策は存在せず、シスコは影響を受けるバージョンに対する修正版ソフトウェアおよびホットフィックスの適用を案内している。

  • すでに実環境での悪用が確認されており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は連邦機関に対して2026年8月14日までの修正対応を指示した。

  • 米ネットワーク機器大手シスコシステムズ（Cisco）は、同社のセキュリティ製品向けソフトウェア「Secure Firewall Adaptive Security Appliance（ASA）Software」および「Secure Firewall Threat Defense（FTD）Software」において、実環境での悪用が確認されている脆弱性（CVE-2026-20349）が存在すると発表した。現地時間の2026年8月11日（火曜日）に公開されたセキュリティアドバイザリの中で明らかにし、該当製品を利用する組織へ警戒と早急な対処を呼びかけている。

脆弱性の概要と発生する影響

今回公表された脆弱性「CVE-2026-20349」は、共通脆弱性評価システム（CVSS）のスコアで8.6の「高（High）」と評価されている。

問題の原因は、HTTPリクエストを処理する際のエラーチェック処理が不十分である点にあるという。これにより、認証を受けていないリモートの攻撃者が、細工したHTTPリクエストを対象機器の「Remote Access SSL VPN（暗号化通信を用いて社外から安全に社内ネットワークへ接続する機能）」サービス宛てに送信することが可能になる。

シスコの説明によると、攻撃が成功した場合、対象のデバイスが意図せずリロード（強制再起動）され、その結果として通信やサービスが停止するサービス運用妨害（DoS：Denial of Service）状態に陥る恐れがあるとしている。

影響を受ける条件と対象バージョン

本脆弱性は、脆弱なバージョンのSecure Firewall ASA SoftwareまたはCisco Secure FTD Softwareを実行しており、かつ以下のいずれかの設定が有効になっているデバイスに影響を及ぼす。

  • IKEv2 Remote Access VPN（クライアントサービス有効）：crypto ikev2 enable <interface_name> client-services port <port_numbers>
  • SSL-VPN：webvpn enable <interface_name>
  • Zero Trust Network Access2：zero-trust enable

影響を受けるソフトウェアのバージョンと、それぞれに対応する修正版は以下の通り案内されている。

Secure Firewall ASA Software

  • ASA 9.161：89.16.4.50 にて修正
  • ASA 9.181：89.18.4.50 にて修正
  • ASA 9.20：9.20.4.235 にて修正
  • ASA 9.22：9.22.3.191 にて修正
  • ASA 9.23：9.23.1.211 にて修正
  • ASA 9.24：9.24.1.221 にて修正

Secure Firewall FTD Software

FTD向けには、各系列ごとに以下のホットフィックスが修正として提供されている。

  • FTD 7.0系列：
    • Cisco_FTD_Hotfix_GC-7.0.9.1-1.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_GC-7.0.9.1-1.sh.REL.tar
    • Cisco_FTD_SSP_FP2K_Hotfix_GC-7.0.9.1-1.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_GC-7.0.9.1-1.sh.REL.tar
  • FTD 7.2系列：
    • Cisco_FTD_Hotfix_HM-7.2.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP2K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP3K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_HM-7.2.11.1-2.sh.REL.tar
  • FTD 7.4系列：
    • Cisco_FTD_Hotfix_HK-7.4.7.1-1.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
    • Cisco_FTD_SSP_FP2K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
    • Cisco_FTD_SSP_FP3K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_HK-7.4.7.1-1.sh.REL.tar
    • Cisco_Secure_FW_TD_4200_Hotfix_HK-7.4.7.1-1.sh.REL.tar
  • FTD 7.6系列：
    • Cisco_FTD_Hotfix_DD-7.6.4.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_DD-7.6.4.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP3K_Hotfix_DD-7.6.4.1-2.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_DD-7.6.4.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_4200_Hotfix_DD-7.6.4.1-2.sh.REL.tar
  • FTD 7.7系列：
    • Cisco_FTD_Hotfix_AN-7.7.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_AN-7.7.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP3K_Hotfix_AN-7.7.11.1-2.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_AN-7.7.11.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_1200_Hotfix_AN-7.7.11.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_4200_Hotfix_AN-7.7.11.1-2.sh.REL.tar
  • FTD 10.0系列：
    • Cisco_FTD_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP1K_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_FTD_SSP_FP3K_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_FTD_SSP_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_200_Hotfix_R-10.0.0.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_1200_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_4200_Hotfix_S-10.0.0.1-2.sh.REL.tar
    • Cisco_Secure_FW_TD_6100_Hotfix_S-10.0.0.1-2.sh.REL.tar

回避策の有無と発見・悪用の経緯

シスコによると、本脆弱性に対処できる設定変更などの回避策（Workaround）は存在しないという。同社は今月上旬（2026年8月上旬）に、実際に悪用が行われている事態を把握したと説明している。

問題そのものは同社の社内セキュリティテストを通じて発見されたほか、Valerio Brussani氏からも独自に発見・報告が寄せられていた。

なお、悪用を行っている攻撃者の身元や発信元、標的となった組織の具体的な範囲、ならびに攻撃の成功状況といった詳細な攻撃の手口については、現時点では明らかになっていない。

CISAがKEVカタログに追加、米連邦機関へ対応義務付け

実環境での悪用が確認されたことを受け、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、同脆弱性を「悪用が確認された脆弱性（KEV：Known Exploited Vulnerabilities）」カタログに追加した。

これに伴い、CISAは米連邦文民行政府（FCEB）の各機関に対し、2026年8月14日までに修正プログラムを適用するよう義務付けている。

元URL