CVE-2026-76418は、条件に合うVPN装置を未認証の相手が再起動させ、サービスを停止させる脆弱性です。Ciscoは実際の悪用を確認しています。ログイン画面の一覧を隠すだけでは対象から外れない場合があり、追加の認証を外す暫定策にはセキュリティ低下が伴います。修正版への更新を優先してください。
社外から社内へ接続するVPNは、業務の入口です。その入口を守る装置自体が再起動すると、利用者が正しいパスワードを持っていても接続できなくなります。今回はCisco Secure Firewall ASA／FTDのSSLリモートアクセスVPNで、特定の認証設定に関わる不具合が公表されました。
Ciscoの公式勧告は10月28日19:15 GMT、日本時間では10月29日4:15に公開されました。さらにCISAのKEV公式データで10月29日の追加を確認しました。KEVは実際に悪用された脆弱性をまとめたカタログです。この記事では、設定の見落としを避ける点検と、認証を弱めずに更新へ進むための整理を行います。
確認時点は2026年10月30日16時台（日本時間）、Cisco勧告はVersion 1.0です。公式資料に基づく運用解説であり、ASA／FTD実機での再現試験や設定変更は行っていません。
何が起こるのか：情報流出ではなく、装置の再起動による業務停止
| 項目 | 確認できた内容 |
|---|---|
| 識別子 | CVE-2026-76418 / CWE-690 |
| Ciscoの重大度 | High。CVSS v3.1 基本値8.6 |
| 攻撃者の前提 | ネットワーク経由。VPNログインの成功は不要 |
| 影響 | 装置の予期しない再起動とサービス拒否（DoS） |
| 原因 | トンネルグループのsecondary authentication設定時に生じる処理の論理エラー |
| 悪用 | Cisco PSIRTが2026年10月中の実悪用を確認。CISAは10月29日にKEV追加 |
DoSは、サービスを使えなくする状態です。今回は「正しくログインした利用者が問題を起こす」だけではなく、ログインが成功する前に問題の処理へ到達できることが重要です。勧告で説明されている影響を、任意コード実行や情報流出へ広げて解釈してはいけません。被害件数、攻撃開始の正確な日時、特定企業への影響は今回の資料では不明です。
日本の企業では、在宅勤務、保守担当者の遠隔接続、委託先の作業が止まる可能性を自社構成に照らして考えます。これは想定される業務影響で、特定企業で発生した被害の報告ではありません。CVSSの数値だけで順番を決めず、実悪用の有無、外部からの到達性、止まる業務を合わせて優先度を判断します。
対象かどうかは、版・到達性・認証設定を組み合わせて判断する
ASAはファイアウォール用ソフトウェア、FTDは脅威対策機能を備える別のソフトウェアです。管理画面を提供するFMCと、通信を処理するFTD装置は役割が違います。「Ciscoの製品を使っている」だけで一律に対象とも対象外とも判定できません。
- 1管理対象の装置で、実際に動いているソフトウェアがASAかFTDかを確認する。機種と完全なバージョン番号を控える。
- 2影響する版に該当するかを公式の修正版表で照合する。管理用PCのソフトウェアや管理サーバーの版で代用しない。
- 3SSLリモートアクセスVPNが有効か、そのログインサービスへどこから到達できるかを確認する。
- 4次の表に従ってトンネルグループのsecondary authenticationを確認する。情報が足りない項目は「不明」のまま担当者へ戻す。
トンネルグループは、VPNの接続プロファイルなどの設定をまとめる単位です。secondary authenticationは、ここで追加の認証サーバーを指定する設定を指します。「MFAを導入済み」という一般的な説明だけでは、今回の設定に該当するか判断できません。設定項目名と実際の配備状態を確認します。
| 確認した設定 | 次に調べる範囲 | 見落としやすい点 |
|---|---|---|
| tunnel-group-list enable がある | DefaultWEBVPNGroupを含む全トンネルグループのsecondary-authentication-server-group | ログイン画面の一覧に表示されるプロファイルだけでは不十分 |
| tunnel-group-list enable がない／無効 | 既定のDefaultWEBVPNGroupのsecondary-authentication-server-group | 一覧を隠しても、既定グループに追加認証があれば影響が残り得る |
| FTDをFMC／FDMから管理 | 配備済みVPNポリシーと、装置の稼働設定の両方 | 画面で保存しただけの変更と、装置に反映された設定を混同しない |
公式勧告はSSL VPNの有効化を、稼働設定のwebvpnとインターフェースのenable設定で確認する方法を示しています。FTDではFMCのDevices → VPN → Remote Access、またはFDMのRemote Access VPNが確認の入口です。これらは機能の確認であり、版・到達性・上表の認証条件も合わせて判断します。対象条件の原文も参照してください。
CiscoはCDFW、cdFMC、Secure Access、Secure FMC Softwareをこの脆弱性の対象外としています。ただし、FMC自体が対象外でも、その配下で管理するFTD装置まで対象外になるわけではありません。点検台帳は管理サーバーだけで閉じず、通信を処理する装置へひも付けます。
修正版の対応表：ASAとFTDを分ける
以下はCisco勧告のFirst Fixed Release表に示された、このCVEの初回修正版です。すべての問題を解消した最新推奨版を意味しません。系列をまたぐ大小比較で判断せず、機種、現在の版、互換性、更新経路を合わせて確認してください。
| ASAの系列（公式表） | このCVEの初回修正版 |
|---|---|
| 9.16以前 | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27／9.24.10.1（公式表の併記） |
ASA 9.24の欄は公式表に2つの版が併記されています。どちらでも無条件に選べると解釈せず、利用する配布系列と機種に適合する版を確認します。また「9.16以前」という行は、古いすべての装置が直接その版へ更新できる保証ではありません。
| FTDの系列（公式表） | このCVEの初回修正版 |
|---|---|
| 7.0以前 | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Cisco Software Checkerでは、製品・プラットフォーム・版を指定して関連勧告を確認できます。First Fixedは個別の勧告を修正する最初の版、Combined First Fixedは検索で識別された複数の勧告をまとめて修正する最初の版です。本記事では実機情報を入力してこの判定を実行していません。
勧告はソフトウェア更新の提供を明記していますが、各ファイルの個別の提供開始時刻は今回確認していません。KEVへの追加日を、初めて修正版が出た日として扱わないようにします。
暫定策の落とし穴：追加認証を外して終わりにしない
Ciscoは根本対応として更新を強く推奨しています。勧告冒頭は回避策なしとしていますが、本文には条件付きの一時的な緩和策があります。「修正が不要になる方法」と「更新までリスクを下げる方法」を分けて読む必要があります。
| 公式が示す状況 | 一時的な緩和の考え方 | 運用上の注意 |
|---|---|---|
| DefaultWEBVPNGroupが追加認証を使っていない | トンネルグループ一覧を無効化する | 利用者は一覧から接続プロファイルを選べなくなる。正しいプロファイルの案内が必要 |
| DefaultWEBVPNGroupが追加認証を使っている | 追加認証を取り除く | VPNのセキュリティが低下する。単なる表示変更では対処できない |
Ciscoの緩和策はテスト環境での確認であり、自社構成での有効性や影響の評価が必要です。特に追加認証の解除は別の危険を増やします。LLMへ「とにかく直して」と指示して無条件に認証を外す運用は避け、修正版への更新を第一候補にしてください。
すぐ更新できない場合も、担当者が利用継続の必要性、到達範囲、変更の影響、代替経路、終了期限を決めます。アクセス範囲の制限などを検討する場合は、正当な利用者への影響と、対策後も残る到達経路を確認します。本記事はそのような制限で必ず防げると保証するものではありません。
更新を「完了」にするための確認手順
次は編集部が整理した作業計画の例です。具体的な更新操作は機種や管理方式によって異なるため、ASAの公式アップグレード計画、FMC／FTD向けの公式ガイド一覧から利用版に合う手順を選んでください。
- 1棚卸し：機種、ASA／FTDの稼働版、管理方式、HA構成、SSL VPNの到達性、対象認証設定を記録する。サービス委託時は委託先にも同じ項目で確認する。
- 2更新計画：修正対象のCVEと更新先を対応付ける。中間更新、互換性、構成移行、停止時間を公式ガイドで確認する。単に番号が新しい版へ飛ばない。
- 3復旧準備：構成のバックアップと復元方法、管理用の代替経路、失敗時の判断基準を用意する。ダウングレードできるとは限らないため、戻し方も版ごとに確認する。
- 4変更実施：組織で承認した手順に従って更新する。冗長構成では片側の更新だけで全体を完了扱いにしない。
- 5稼働確認：再起動後に装置が実際に動かしている版と設定を確認する。イメージを置いただけ、管理画面で保存しただけの状態と区別する。
- 6通常機能の検証：許可されたテスト利用者で、必要な認証が維持されたVPN接続と業務通信を確認する。攻撃リクエストの送信で検証しない。
- 7監視と記録：予期しない再起動や接続障害の記録を保全して確認する。暫定設定を変更した場合は、その解消と担当者の確認を残す。
突然の再起動だけで、このCVEが悪用されたと断定はできません。保守作業、障害、認証・接続の記録と時間を突き合わせて調査します。逆に、目立つ障害がなかったことを修正不要の理由にはできません。今回取得したCISAデータではランサムウェアでの利用はUnknownであり、確認済みとは説明できません。
VPNの一般利用者ができるのは、会社からの接続案内と保守時間の確認、接続できない時刻・エラーの報告です。この問題の修正対象はASA／FTD装置のソフトウェアであり、利用者の端末でVPNクライアントを更新するだけで対応が完了するものではありません。認証や証明書の確認を自己判断で無効化しないでください。
空の点検台帳と、LLMに渡す防御点検の指示文
空の点検台帳CSVを用意しました。これは手入力用であり、自動スキャンも脆弱性の自動判定も行いません。匿名の資産IDを使い、接続先の詳細や秘密値を外部LLMへ渡さずに記録を整理してください。
あなたはVPN運用の防御点検を補助します。対象は私が管理権限を持つ資産のみです。添付の機密値を除いた台帳を読み取り専用で点検し、CVE-2026-76418について、判断・根拠URL・確認日時・不足情報・次の作業を表にしてください。
ASAとFTD、管理側のFMCと通信装置、ファイル上の版と実稼働版を区別してください。影響版、SSL VPNログインへの到達性、トンネルグループのsecondary-authentication-server-groupを組み合わせます。tunnel-group-list enableがある場合は既定を含む全グループ、ない場合はDefaultWEBVPNGroupを確認対象にしてください。FTDは配備済みポリシーと稼働設定を照合し、不足は不明としてください。
更新先は公式のFirst FixedとCombined First Fixed、機種の互換性と更新経路を確認して提案してください。追加認証を外す、一覧を無効化する、アクセス設定を変える、といった変更を自動実行しないでください。攻撃コードや試験リクエストは作らず、秘密鍵・パスワード・認証サーバーの秘密値・構成全文を要求しないでください。
計画には停止影響、バックアップと復元、稼働版の再確認、認証を維持した通常接続の確認、ログ保全、暫定策の解消、担当者と期限を含めてください。DoSを情報流出やRCEと取り違えず、ログだけで悪用や安全を断定しないでください。LLMは根拠と台帳の照合を助けますが、設定の実態や安全性を保証しません。複数の脆弱性が同時に届いたときの対応順序は脆弱性の初動整理も参照できます。