シスコのファイアウォール製品にDoS脆弱性が判明、米CISAが悪用確認済みカタログに追加

要点

• Cisco Secure Firewall ASAおよびFTDのRemote Access SSL VPN機能に、機器を強制再起動させられるサービス拒否（DoS）脆弱性「CVE-2026-20349」が確認された。

• 認証を受けていない遠隔の攻撃者が細工したHTTPリクエストを送信することで悪用可能とされる。

• Ciscoが算出したCVSS v3.1のベーススコアは8.6で、重要度は「High（高）」に分類されている。

• 米CISAは登録直後に評価を「実際の悪用あり（active）」へと更新し、既知の悪用された脆弱性（KEV）カタログに追加した。

• 米国国立標準技術研究所（NIST）の脆弱性データベース（NVD）において、シスコシステムズのセキュリティ製品「Cisco Secure Firewall ASA」および「Cisco Secure Firewall Threat Defense（FTD）」に関する脆弱性情報（CVE-2026-20349）が公開された。

• 本脆弱性は、リモートアクセス向けのSSL VPNサービスにおいてHTTPリクエストを処理する際のエラー検証が不十分であることに起因しており、外部から認証なしで機器を予期せず再起動させ、サービス拒否（DoS）状態に陥らせる危険性がある。さらに、公開当日に米サイバーセキュリティ・インフラセキュリティ庁（CISA）の担当チーム（CISA-ADP）によって実際の攻撃での悪用が確認されたとして情報が更新されている。

脆弱性のメカニズムと影響

公開された情報によると、本脆弱性の原因はCisco Secure Firewall ASAおよびFTDのソフトウェアに含まれる「Remote Access SSL VPN」サービスの実装にある。当該サービスが受信したHTTPリクエストを処理する過程でエラーチェックが適切に行われないため、細工されたリクエストを受け取った際に機器が予期しない再起動（リロード）を起こすという。

共通脆弱性タイプ（CWE）としては、「解放前のヒープメモリの不適切なクリア（CWE-244: Heap Inspection）」が割り当てられている。ヒープメモリとはプログラム実行時に動的に確保される作業領域のことである。

攻撃者は特別な認証情報を必要とせず、ネットワーク経由で対象機器のSSL VPNサービス宛てに細工したHTTPリクエストを送信するだけで攻撃を実行できるとされている。攻撃が成立した場合、ファイアウォール機器自体がリロードされ、稼働中の通信やVPN接続が切断されるサービス拒否（DoS）状態が発生する。

CVSSスコアと深刻度評価

本脆弱性に対する評価として、CVE採番機関（CNA）であるシスコシステムズ自身によるCVSS v3.1スコアが提示されている。

• CVSS v3.1 ベーススコア: 8.6（High）
• CVSS ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

ベクターの詳細を見ると、攻撃元区分（AV）はネットワーク経由の「Network」、攻撃条件の複雑さ（AC）は「Low」、必要な特権レベル（PR）は不要を表す「None」、ユーザー関与（UI）も「None」と定義されている。機密性への影響（C）および完全性への影響（I）は「None」であるものの、スコープ（S）が変更ありを示す「Changed」、可用性への影響（A）が最も高い「High」と評価されており、リモートからの容易な攻撃によってサービスの可用性が完全に喪失するリスクが示されている。

なお、NVDによる独自検証およびCVSS 4.0／CVSS 2.0のスコア算出は、現在情報補強作業中（Undergoing Enrichment）となっており、正式なNVD評価は未提供（N/A）のステータスとなっている。

米CISAによる追跡と悪用状況の更新

NVDに記録された変更履歴によると、本脆弱性に関する情報は短時間で重要度に関する位置づけが変更された。

2026年8月11日13時17分（現地時間）にシスコシステムズから新規CVE情報が登録された後、同日14時17分にCISA-ADPがSSVC（Stakeholder-Specific Vulnerability Categorization）の判定データを追加した。当初の判定では自動化可能性（automatable）が「yes」、技術的影響（technicalImpact）が「partial」とされる一方、悪用状況（exploitation）は「none（なし）」とされていた。

しかし、そのわずか2時間後の同日16時17分、CISA-ADPはSSVCの悪用状況項目を「active（実環境での悪用あり）」へと変更した。同時に、米CISAが管理する「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog / KEV）」の該当CVEページへのリンクがリファレンスに追加されている。

対象となる製品とソフトウェアバージョン

本脆弱性は、Cisco Secure Firewall ASA SoftwareおよびCisco Secure Firewall Threat Defense (FTD) Softwareの幅広いバージョンに影響することが確認されている。登録された変更レコードには、多数のバージョンが影響対象（affected）としてリストアップされている。

開示されたASAソフトウェアのバージョン例：

• 9.16系統（9.16.1、9.16.2、9.16.3、9.16.4および各派生ビルド）
• 9.18系統（9.18.1、9.18.2、9.18.3および各派生ビルド）
• 9.19系統（9.19.1および各派生ビルド）
• 9.20系統（9.20.1など）

シスコシステムズは本件に関するセキュリティアドバイザリ（識別子: cisco-sa-asaftd-vpn-dos-dzv4mQFF）を公式セキュリティセンターにて公開しており、詳細な製品情報や技術的仕様の確認が可能となっている。