先に要点
- Cisco の ASA と FTD（Secure Firewall Threat Defense）の SSL VPN で、認証なしの相手が装置を再起動させられる脆弱性（CVE-2026-76418、CVSS 8.6）が見つかり、実際に悪用されています。
- 対象は「SSL VPN が有効で、ログイン画面に届き、しかもトンネルグループに二次認証を設定している」装置だけです。三つがそろわなければ、この脆弱性の条件には当たりません。
- CISA の悪用確認済みの一覧（KEV）に2026年10月29日に追加され、対応期限は11月1日です。
- 根本対策は修正版への更新です。すぐに更新できない場合の一時的な緩和策はありますが、二次認証を外すものもあり、セキュリティを下げる点に注意が要ります。
社内の VPN に Cisco の ASA または FTD（Secure Firewall）を使っている方向けの記事です。ニュースを見て「うちの装置は当たるのか」を、設定の見方から更新の順番までたどれるようにまとめました。
この記事は、Cisco のセキュリティアドバイザリ（cisco-sa-asaftd-tunnel-dos-s6mgkb75、2026年10月28日公開）と、CISA の KEV の掲載内容をもとにしています（いずれも2026年10月31日に確認）。修正版の番号は更新されることがあるので、作業の前に Cisco のアドバイザリで最新を確かめてください。
何が起きたのか
アドバイザリによると、原因はトンネルグループに二次認証を設定したときの処理の誤りです。外部の攻撃者が、SSL VPN への接続の途中で細工したリクエストを送ると、装置が予期せず再起動します。認証は要りません。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-76418 |
| 深刻度 | CVSS 8.6（高）。影響は可用性のみで、情報の漏えいや改ざんは示されていない |
| 起きること | 装置が再起動し、VPN を含む通信が止まる（DoS） |
| 悪用 | Cisco が2026年10月に悪用を把握したと記載 |
| KEV | 2026年10月29日に追加。期限は11月1日。ランサムウェアでの利用は「不明」 |
| 影響しない製品 | クラウド提供のファイアウォール、cdFMC、Secure Access、Secure FMC |
この脆弱性で情報が盗まれると示されているわけではありません。ただし、VPN 装置を繰り返し再起動されると、在宅勤務や拠点間の接続が止まります。KEV に載り、実際の悪用が確認されている以上、後回しにしにくい脆弱性です。
自分の装置は対象か：三つの条件
アドバイザリは、次の三つがすべて当てはまる装置が対象になり得ると説明しています。
条件3：二次認証を設定
トンネルグループの設定に、二次認証の認証サーバーグループ（secondary-authentication-server-group）がある。
二次認証は、パスワードに加えて、ワンタイムパスワードなどを別の認証サーバーで確かめる設定です（多要素認証の考え方と近いものです）。安全のために設定した機能が、この脆弱性の入口になっている点が皮肉ですが、二次認証をやめるのが正解ではありません。修正版に上げるのが筋です。
設定の確かめ方
Cisco のアドバイザリは、確認の範囲を次のように分けています。ログイン画面に表示されていないトンネルグループも対象に含める点が見落としやすいところです。
| 状況 | 確認すること |
|---|---|
トンネルグループの一覧表示が有効（tunnel-group-list enable がある） |
すべてのトンネルグループ（DefaultWEBVPNGroup を含む）に二次認証の設定があるか。ログイン画面に出ているものだけで判断しない |
| 一覧表示が無効 | DefaultWEBVPNGroup に二次認証の設定があるか |
| FTD | 管理センター（FMC）の Devices > VPN > Remote Access、または FDM のリモートアクセス VPN で、展開済みのポリシーと実行中の設定を見る |
ASA では、実行中の設定を表示して、webvpn と各トンネルグループの設定を目で追います。具体的な表示コマンドと出力は、機種と版で異なるので、Cisco のドキュメントで確かめてください。装置の版から、該当するアドバイザリと修正版を調べる Cisco Software Checker も用意されています。
なお、VPN にログインできたかどうかは関係ありません。アドバイザリは、ログインの成功が無くても問題のある処理に届くと説明しています。
修正版：上げ先の一覧
Cisco が示す、最初の修正版（First Fixed Release）です。使っている系統の行を見て、その版以降に上げます。
| 製品 | 使っている系統 | 最初の修正版 |
|---|---|---|
| ASA | 9.16 以前 | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27 以降、または 9.24.10.1 |
| FTD | 7.0 以前 | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
「9.16 以前」「7.0 以前」の行は、古い系統のまま 9.16.4.104 や 7.0.11 に上げられるという意味です。サポートが終わっている版では、より新しい系統への移行が必要かもしれません。そこは Cisco のサポート情報で確かめてください。
更新の手順
確認から更新までの流れ
- 1対象かどうかを確かめる
SSL VPN の有効化、ログイン画面への到達、二次認証の設定の三つを確認する。ログイン画面に出ていないトンネルグループも見る。
- 2公開範囲を整理する
インターネットから直接ログイン画面に届く装置を優先する。社内だけから届く装置は、その次に回す。
- 3
- 4修正版へ更新する
上の表の版以降に上げる。冗長構成なら、片方ずつ更新して切り替えを確かめる。
- 5更新後に確認する
VPN にログインでき、二次認証が動くことを確かめる。更新の直前から再起動が繰り返されていなかったかも、ログで見る。
更新の前後で、予期しない再起動の記録を確かめておくと、攻撃を受けていたかの手がかりになります。ただし、記録が無いことは「攻撃されていない」証拠にはなりません。
すぐに更新できないときの緩和策
Cisco のアドバイザリは、この脆弱性を完全に防ぐ回避策は無いとしたうえで、二次認証を無効にする方向の緩和策を示しています。Cisco は、これは一時的なもので、修正版への更新を勧めると述べています。
| 状況 | 緩和策 | 影響 |
|---|---|---|
DefaultWEBVPNGroup が二次認証を使っていない |
WebVPN の設定モードで no tunnel-group-list enable を実行する |
利用者は一覧から選べなくなり、接続プロファイルの名前を自分で入力する必要がある |
DefaultWEBVPNGroup が二次認証を使っている |
no secondary-authentication-server-group を実行する |
リモートアクセス VPN のセキュリティが下がると Cisco が明記している |
二次認証を外すと、パスワードが漏れたときに VPN へ入られやすくなります。一時的にでも外すなら、利用者への影響と、監視の強化（不審なログインを見るログの確認）をセットで決めます。設定を変更する前に、変更前の設定を必ず退避してください。
CISA の KEV の必須対応は、「ベンダーの緩和策を適用する。緩和策が無い場合は製品の使用をやめる」という形で示されています。これは米国の連邦機関向けの要求ですが、民間でも、期限が近い KEV は優先度を上げる目安として使えます。
Ivanti の件との違いと、同じ点
同じ週に、VPN 装置の Ivanti Connect Secure の連鎖攻撃も KEV に載りました。違いと共通点を並べます。
| 見る点 | Cisco ASA/FTD（この記事） | Ivanti Connect Secure |
|---|---|---|
| 起きること | 認証なしで装置を再起動させる（DoS） | 認証を回避し、root 権限まで取られ得る |
| 侵害の調査 | KEV で、フォレンジックのトリアージは求められていない | 求められている |
| 更新 | 修正版へ。緩和策は一時的 | 修正版へ。更新だけでは足りないことがある |
どちらも、インターネットに面した VPN 装置が狙われている点は同じです。VPN の基本は VPNの基本と脆弱性を、SSL-VPN の用語は用語集を参照してください。
普段の運用で見直したいこと
更新の担当を決める
ネットワーク機器は「誰が版を見るか」が曖昧になりがちです。版の確認と更新、通知の受け取り先を決めておきます。
公開範囲を最小にする
ログイン画面に届く元の範囲を、必要な拠点や回線に絞れるか検討します。
冗長構成で更新を軽くする
片方ずつ更新できる構成なら、VPN を止めずに修正を当てやすくなります。
2026年の悪用確認の状況は、2026年のセキュリティ更新の記録にまとめています。
よくある質問
二次認証を使っていなければ影響しませんか？
アドバイザリの三つの条件のうち、二次認証の設定がなければ、この脆弱性の対象にはなりません。ただし、トンネルグループは複数あることが多く、ログイン画面に出ていないものも含めて確かめる必要があります。
情報を盗まれる心配はありますか？
アドバイザリでは、影響は可用性（装置の再起動）とされています。情報の漏えいや改ざんは示されていません。ただし、これは2026年10月31日に読んだ版での話で、続報が出る可能性があります。
FTD も対象ですか？
はい。ASA と FTD の両方が対象で、修正版は上の表のとおりです。FTD は管理センター（FMC）か FDM で設定を確かめます。
クラウド提供のファイアウォールは対象ですか？
Cisco は、クラウド提供のファイアウォール、cdFMC、Secure Access、Secure FMC を影響なしと記載しています。
まとめ
- Cisco ASA/FTD の SSL VPN で、認証なしに装置を再起動させられる脆弱性（CVE-2026-76418、CVSS 8.6）が悪用されている。KEV に10月29日追加、期限は11月1日
- 対象は、SSL VPN が有効で、ログイン画面に届き、トンネルグループに二次認証を設定した装置。ログイン画面に出ていないトンネルグループも確かめる
- 根本対策は修正版への更新。ASA は 9.16.4.104・9.18.4.96・9.20.4.50・9.22.3.200・9.23.1.48・9.24.1.27 など、FTD は 7.0.11・7.2.13・7.4.9・7.6.7・7.7.14・10.0.3・10.1.1
- 緩和策は一時的で、二次認証を外すものはセキュリティを下げる。最後の手段として、変更前の設定を退避して使う