2026-10-29
Cisco ASA・FTDのVPNでログインなしに再起動させられる脆弱性 CVE-2026-76418：確かめ方と修正版
Ciscoは2026年10月28日（協定世界時）、Cisco Secure Firewall ASAとSecure Firewall Threat Defense（FTD）のリモートアクセスSSL VPNに、認証なしの遠隔の攻撃者が機器を予期せず再起動させ、サービス停止（DoS）にできる脆弱性CVE-2026-76418（CVSS v3.1で8.6）があると公表した。原因は、トンネルグループ（VPNの接続プロファイル）に第2認証を設定しているときの論理の誤り。細工した要求をSSL VPNへの接続時に送ると起こる。コードの実行や情報の漏えいは勧告に書かれていない。回避策はなく、Ciscoは修正版への更新を強く勧めている。Cisco PSIRTは2026年10月に悪用を把握したとしているが、詳細は公表していない。米CISAのKEVには、10月28日19時（協定世界時）の一覧では未登録。当サイトの結論：SSL VPNを公開しているASA・FTDは、第2認証の設定の有無を確かめ、あれば修正版に更新する。更新できないときの暫定策はあるが、安全性が下がる。