対象：インターネットにSSL VPNを公開しているCisco Secure Firewall ASAとFTDの運用担当者。本記事はCiscoの勧告、NVD、米CISAのKEV一覧の公開情報にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月29日（日本時間）時点まだ分かっていないこと
- どこで、誰が狙われているか（Ciscoは詳細を公表していない）
- 米CISAのKEVへの登録（10月28日19時協定世界時の一覧では未登録）
- NVDによる独自の評価（受付済みの状態）
- JPCERT/CCの注意喚起（確認できていない）
Ciscoは10月28日（協定世界時）に勧告を出し、2026年10月に悪用を把握したとしています。修正版の公開と同時の発表で、勧告は最終版（1.0）です。
今日やること
SSL VPNを公開しているか確かめる
ASAなら設定に webvpn があり、いずれかのインターフェースで enable されているかを見ます。FTDは、FMCまたはFDMで配備済みのリモートアクセスVPNの設定と、機器の実際の設定を見ます。ログイン画面に外から届くかどうかも、Ciscoは条件に挙げています。
第2認証が設定されたトンネルグループを探す
Ciscoの勧告は、トンネルグループの設定にある secondary-authentication-server-group を確かめるよう求めています。tunnel-group-list enable を設定している場合は、ログイン画面に出ないものも含め、すべてのグループが対象です。設定していない場合も、既定のDefaultWEBVPNGroupが第2認証を使っていれば対象のままです。VPNへのログインに成功しなくても、問題のある処理に届くとされています。
修正版に更新する
下の「修正版の一覧」の版以上に上げます。更新の前に、Cisco Software Checkerで自分の版が対象かを確認できます。8月に別の脆弱性（CVE-2026-20349）で更新した機器は、その修正版よりこちらの修正版のほうが新しいので、もう一度上げる必要があることがあります。
更新できない間の暫定策を決める
既定のグループが第2認証を使っていないなら、no tunnel-group-list enable でグループ一覧を無効にできます。利用者は接続プロファイル名を自分で知っておく必要があります。使っているなら no secondary-authentication-server-group で外せますが、リモートアクセスの安全性が下がります。Ciscoはどちらも一時的な措置とし、事前に試すよう求めています。
予期しない再起動を監視し、VPN停止時の動きを決める
機器の再起動の記録（ログの監視ツールやSyslogのアラート）に、理由の分からない再起動がないかを見ます（当サイトの判断）。VPNが止まった場合に、誰が判断し、在宅勤務の人にどう連絡し、どの業務を止めるかを今日のうちに決めます。
修正版の一覧
| 製品 | 系統 | 最初の修正版 |
|---|---|---|
| ASA | 9.16以前 | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27、9.24.10.1 |
| FTD | 7.0以前 | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Ciscoによると、クラウド提供のFirewall（CDFW）、cdFMC、Secure Access、Secure FMC Softwareは影響を受けません。
1. SSL VPNが有効
webvpnがいずれかのインターフェースで有効
2. ログイン画面に外から届く
インターネットなどから接続できる
3. 第2認証の設定がある
トンネルグループにsecondary-authentication-server-group
何が公表されたのか
- CVE
- CVE-2026-76418（Cisco勧告 cisco-sa-asaftd-tunnel-dos-s6mgkb75、バグID CSCwx26625）
- 種類
- CWE-690。第2認証を設定したトンネルグループの処理にある論理の誤り
- 深刻度
- CVSS v3.1で8.6（Ciscoの評価）。ネットワークから、認証なし、利用者の関与なし。影響は可用性のみ
- 影響
- 認証なしの遠隔の攻撃者が、機器を予期せず再起動させ、サービス停止にできる
- 公表
- 2026年10月28日（協定世界時）。勧告は最終版（1.0）。Cisco TACの支援案件の中で発見された
- 悪用
- Cisco PSIRTが2026年10月に悪用を把握したと記載。誰が、どの規模でかは非公表
- 回避策
- なし。暫定の緩和策は上の手順4
NVDにも同じ日に登録されていますが、状態は「受付済み」で、評価はCiscoのものだけです。NVDの記録には、米CISAの調整役による評価（SSVC）で、悪用（Exploitation）が none とされた項目もあります（10月28日22時台、協定世界時）。Ciscoの「悪用を把握」とは食い違うので、どちらが新しい情報かは、時間がたってから改めて確かめます。
8月のCVE-2026-20349との関係
同じASA・FTDのリモートアクセスSSL VPNでは、8月11日にCVE-2026-20349（CVSS 8.6、細工したHTTP要求で機器が再起動）が公表され、Ciscoが悪用を把握しました。米CISAは同じ日にKEVへ登録しています。別の脆弱性で、原因も条件も違います（今回は第2認証の設定が条件）。ただし、当サイトが見てほしいのは次の2点です。
- 同じ種類の機器が、約2.5か月（8月11日と10月28日）のうちに2度、ログインなしで再起動させられる脆弱性が悪用されたとCiscoが述べている。SSL VPNを公開する機器は、再起動を前提にした備えが要る
- 修正版が別なので、8月に更新済みでも今回の版に届いていないことがある。たとえばASA 9.18は、8月の修正版が9.18.4.94、今回が9.18.4.96
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 実際の悪用 | Ciscoは把握と発表。詳細は非公表 |
| KEVへの登録 | 10月28日19時（協定世界時）の一覧では未登録 |
| NVDの評価 | 受付済み（Ciscoの評価のみ） |
| 日本の公的機関の注意喚起 | 当サイトの確認では見つからなかった |
出典
2026年10月29日に確認しました。
- Cisco「Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability」（cisco-sa-asaftd-tunnel-dos-s6mgkb75、2026年10月28日） — cisco.com
- NVD「CVE-2026-76418」 — nvd.nist.gov
- 米CISA「Known Exploited Vulnerabilities Catalog」 — cisa.gov
- Cisco「Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability」（cisco-sa-asaftd-vpn-dos-dzv4mQFF、CVE-2026-20349、2026年8月11日、9月16日更新） — cisco.com
更新履歴
2026-10-29：初版。Ciscoの勧告（10月28日）、NVD、米CISAのKEV一覧にもとづく。
次に読む
- VPN機器の守り方：VPN機器はランサムウェアの主な侵入口：リモートアクセスの守り方
- 同じ月に悪用された境界機器：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：CVSSとは