Cisco Patches Actively Exploited SSL VPN Vulnerability Affecting ASA and FTD Firewalls
2026/10/28 gbhackers — Cisco が公開したのは、Secure Firewall Adaptive Security Appliance (ASA) および Secure Firewall Threat Defense (FTD) のリモート・アクセス SSL VPN サービスに存在する、深刻な脆弱性を修正するセキュリティ・アップデートである。この脆弱性 CVE-2026-76418 を悪用する未認証の攻撃者は、デバイスを再起動させ、サービス拒否 (DoS) を引き起こす可能性がある。
Cisco SSL VPN の脆弱性
この脆弱性 CVE-2026-76418 (CVSS 8.6) は、深刻度 High と評価されている。Cisco の Product Security Incident Response Team (PSIRT) は 10月上旬の時点で、この脆弱性が実際に悪用されていることを確認し、2026年10月28日にセキュリティ・アドバイザリを公開した。このアドバイザリでは、攻撃者や被害者の身元や、関連する攻撃キャンペーンの規模は明らかにされていない。
この脆弱性は、処理ロジックの不備に起因し、VPN トンネルグループに二次認証が設定されている場合に発生する。SSL リモートアクセス VPN への接続時に、細工したリクエストを送信する攻撃者は、ログイン認証を完了することなく、脆弱な処理に到達できる。
悪用に成功した攻撃者により、影響を受けるファイアウォールが再起動される。Cisco が説明しているのは可用性への影響であり、リモートコード実行やデータ窃取ではない。この問題は、Eric Fernald が Cisco Technical Assistance Center (TAC) のサポート案件に対応する過程で発見した。
今回の公表は、以前に報告された Cisco ASA および FTD の脆弱性が実際に悪用された事例に続くものである。管理者にとって必要なことは、認証なしで悪用できる今回のサービス拒否の脆弱性と、有効な VPN 認証情報を必要とする過去の脆弱性を区別することである。
この脆弱性を悪用する際の前提は、脆弱なソフトウェアの使用／SSL VPN のログインサービスへのネットワーク経由でのアクセス／該当するトンネルグループにおける二次認証の設定である。管理者は、webvpn の設定で enable <interface_name> が指定されていることを確認した上で、二次認証の設定を調査する必要がある。
tunnel-group-list enable が設定されている場合には、DefaultWEBVPNGroup やログインページの一覧に表示されないプロファイルを含め、すべてのトンネル・グループを確認する必要がある。その一方で、トンネル・グループ一覧が無効になっている場合も、デフォルト・グループの確認が必要となる。デフォルト・グループに二次認証が設定されていれば、脆弱性の影響を受ける状態が継続する可能性がある。
FTD の管理者にとって必要なことは、Firewall Management Center (FMC) または Firewall Device Manager (FDM) を使用し、適用済みのポリシーと、それをベースに生成されたデバイス設定を確認することである。
Cisco が確認しているのは、Cloud-delivered Firewall／Cloud-delivered Firewall Management Center／Secure Access／Secure FMC Software が、この脆弱性の影響を受けないことだ。以前に報告された Cisco SSL VPN のサービス拒否の脆弱性は、セッション処理に関する別の問題であり、今回のトンネル・グループの処理ロジックの不備とは異なる。
ASA の修正済みバージョンには、9.16.4.104／9.18.4.96／9.20.4.50／9.22.3.200／9.23.1.48 および、9.24 系列の 9.24.1.27／9.24.10.1 が含まれる。FTD の修正済みバージョンには、7.0.11／7.2.13／7.4.9／7.6.7／7.7.14／10.0.3／10.1.1 が含まれる。
Cisco は回避策を提示していないが、一時的な緩和策について説明している。デフォルト・グループに二次認証が設定されていない場合の管理者は、no tunnel-group-list enable コマンドを使用して、トンネル・グループ一覧を無効化できる。その一方で、デフォルト・グループで二次認証を使用している場合には、no secondary-authentication-server-group コマンドで二次認証を削除する方法があるが、VPN のセキュリティ水準が低下する。
これらの設定変更については、導入環境ごとに影響を評価する必要があり、パッチ適用の代わりにはならない。Cisco が強く推奨するのは、適切な修正済みバージョンへのアップグレードである。また、ファイアウォールのメンテナンスを計画する前に、同社の Software Checker を使用して影響の有無を確認し、適用可能なアップデートを特定することを推奨している。
この記事は、Cisco の Secure Firewall ASA および Secure Firewall FTD における SSL VPN 機能の脆弱性について解説するものです。トンネルグループに対する二次認証処理のロジック不備が背景に存在します。影響として、未認証の攻撃者によるデバイスの強制再起動やサービス拒否 (DoS) が生じる恐れがあります。対応策として、適切な修正済みファームウェアへのバージョンアップ／設定内容の精査／一時的な回避手順の評価が求められます。
You must be logged in to post a comment.