フォローする Ciscoは、Cisco Secure Firewall Adaptive Security Appliance (ASA)およびSecure Firewall Threat Defense (FTD)ソフトウェアのリモートアクセスSSL VPNサービスに影響を与える、深刻なゼロデイ脆弱性CVE-2026-76418のセキュリティ更新をリリースしました。この欠陥は実際に利用されており、認証されていないリモート攻撃者が脆弱なファイアウォールをリロードさせ、サービス拒否（DoS）状態を引き起こし、リモートアクセスを妨害する可能性があります。
Ciscoは、この脆弱性にCVSS 3.1スコア8.6を割り当てました。欠陥は認証やユーザーの操作を必要とせず、攻撃の複雑さが低いです。主要なセキュリティの結果は、機密性や完全性の侵害ではなく、可用性の喪失です。Ciscoは、リモートコード実行やデータ窃取とこの脆弱性を関連付けていません。
この脆弱性は特に重要です。なぜなら、エッジセキュリティデバイスやVPNゲートウェイはしばしばインターネットに直接晒され、企業環境への重要なアクセスを提供するからです。繰り返しの脆弱性利用により、影響を受けたアプライアンスが再起動を強いられ、リモート従業員や管理者のVPN接続が中断される可能性があります。
Ciscoは、2026年10月28日にこの脆弱性を開示しました。これは、Ciscoの製品セキュリティ・インシデント・レスポンス・チーム（PSIRT）が10月中に活発な利用を認識した後に行われました。この問題は、Eric FernaldがCiscoのテクニカルアシスタンスセンターサポートケースを解決中に初めて特定されました。
CVE-2026-76418の検出のために、セキュリティチームはインターネットに面したCisco ASAおよびFTDアプライアンスを、予期しないリロード、繰り返されるSSL VPN接続試行、異常な認証活動、リモートアクセスサービスに影響を与える可用性の中断について優先的に監視すべきです。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、SIEM、EDR、ファイアウォール、ネットワーク、アイデンティティのテレメトリ全体で脆弱性利用や疑わしい行動に対する可視性を強化するために、セキュリティチームを支援します。
クリックして 検出を探索する 関連する検出コンテンツや脅威ハンティングロジックにアクセスします。CVE-2026-76418を検出するには、防御者はファイアウォール構成の評価をVPNテレメトリ、デバイスリロードイベント、ネットワーク活動、認証ログと組み合わせて、利用試行を特定し、露出を確認する必要があります。
CVE-2026-76418の分析
この脆弱性は、Cisco Secure Firewall ASAおよびSecure FTDソフトウェアのリモートアクセスSSL VPN機能に存在します。
Ciscoによれば、根本的な問題はトンネルグループにセカンダリ認証が設定されている場合に発生するロジックエラーに関係しています。認証されていない攻撃者は、SSLリモートアクセスVPNサービスに接続中に特別に作成されたリクエストを送信し、予想外のデバイスリロードを引き起こします。
特に、成功したVPN認証は脆弱な処理パスに到達するために必要ありません。これにより、攻撃者は有効なVPN資格情報を必要とせずに、公開されたSSL VPNサービスへのネットワークアクセスだけで済むため、潜在的な攻撃面が大幅に広がります。
CVE-2026-76418の詳細は、デバイスが露出するために3つの主要な条件が存在する必要があることを示しています：
- ファイアウォールは、脆弱なCisco Secure Firewall ASAまたはFTDリリースを実行する必要があります。
- SSLリモートアクセスVPNログインサービスにアクセス可能である必要があります。
- セカンダリ認証が影響を受けたトンネルグループ内に設定されている必要があります。
Ciscoは、管理者がまずSSL VPN機能が有効であるかどうかを判断することを推奨しています。ASAシステムでは、インターフェースで有効にされたSSL VPNを含むwebvpnの設定には追加の確認が必要です。FTD管理者は、Secure Firewall Management CenterやDevice Managerを介して展開されたリモートアクセスVPN設定を確認すべきです。
管理者は次に、トンネルグループを検査すべきです：
secondary-authentication-server-group
トンネルグループリスト有効が設定されている場合、DefaultWEBVPNGroupも含めてすべてのトンネルグループを調べるべきです。Ciscoは、VPNログインページに表示される接続プロファイルのみを検査するのは不十分であると特に警告しています。
トンネルグループリストを削除したり無効にしたりしても、露出が自動的に排除されるわけではありません。DefaultWEBVPNGroupがまだセカンダリ認証を使用している場合、脆弱なパスは引き続き到達可能です。
CVE-2026-76418は、これらの構成条件を満たし、脆弱なソフトウェアリリースを実行しているCisco Secure Firewall ASAおよびSecure FTDの導入に影響を与えます。
Ciscoは、次の製品に影響がないことを確認しています：
- Cloud-delivered Firewall
- Cloud-delivered Firewall Management Center
- Cisco Secure Access
- Secure Firewall Management Center Software
この欠陥は、未チェックのリターン値がNULLポインタ参照を引き起こすことに関連するCWE-690として分類されています。CiscoのCVSSベクトルは、ネットワークアクセス性、低攻撃複雑性、特権不要、ユーザー介入不要、高可用性影響を反映しています。
成功した攻撃は、現在公開されている情報に基づいて、敵対者にファイアウォールの管理アクセスを提供しません。代わりに、アプライアンスは予期せずにリロードし、その可用性を中断します。
ネットワークアーキテクチャによっては、繰り返しの脆弱性の悪用により、より広範な運用上の結果が生じる可能性があります。影響を受けたファイアウォールが従業員、管理者、パートナー、またはサードパーティサービスのリモート接続を提供している可能性があります。そのゲートウェイを中断することは、データを危険にさらすことなくビジネス運用に干渉する可能性があります。
Ciscoは、脆弱性を利用する攻撃が2026年10月に発生したことを確認しましたが、責任ある脅威アクターを特定しておらず、被害者情報も公開していません。CybersecurityNewsも、データ窃盗やリモートコード実行との確認された接続を報告していません。
この問題は、最近公開されたCiscoファイアウォールの脆弱性とは区別されるべきです。これは、以前に報告されたCisco ASAおよびVPNインフラストラクチャに影響を与える欠陥とは異なり、技術的な原因やエクスプロイト経路が異なります。
執筆時点では、Ciscoのアドバイザリや提供された報告には、再現可能なエクスプロイトコードを含む公開されたCVE-2026-76418のPoCは提供されていません。公開された概念実証の欠如は緊急性の低下を意味せず、Ciscoが現実世界での利用をすでに確認しているため、修正の緊急性は変わりません。
Ciscoはまた、攻撃者のIPアドレス、ドメイン、ペイロードハッシュ、命名された脅威インフラストラクチャなどのキャンペーン固有のCVE-2026-76418のIOCを公開していません。
これは、守護側が静的な指標だけに頼らず、行動と構成に基づいたハンティングを優先すべきことを意味します。
潜在的な調査ポイントには、次のものが含まれます：
- 管理的または保守的な説明のない予期しないASAまたはFTDのリロード
- リロード直前に公開されているSSL VPNサービスへの繰り返しの接続
- 外部インフラストラクチャからの異常なリモートアクセスVPN要求のクラスター
- VPNゲートウェイに影響を与える繰り返しの可用性の中断
- ファイアウォールの稼働時間の予期しないリセット
- デバイスの再起動に関連する異常な認証活動
- サービス中断前と同じまたは関連するIP範囲からの繰り返しの接続
- 短期間にわたる説明のないアプライアンスの複数のリロード
チームはまた、ファイアウォールイベントを上流のネットワークテレメトリと相関させるべきです。ロードバランサー、エッジルーター、DDoS保護システム、IDS/IPSプラットフォーム、または外部モニタリングツールが、ファイアウォールが使用不可になる直前に発生した接続の証拠を保持している可能性があります。
ファイアウォールそのものが繰り返し再起動されている場合、これらのテレメトリを保持することは特に重要です。なぜなら、一部の揮発性診断情報が失われる可能性があるからです。
組織はまた、攻撃者が利用前後に他の活動を試みたかどうかを確認する必要があります。Ciscoは現在、この脆弱性をサービス拒否の欠陥として特徴付けているため、防御者はデバイスのクラッシュを完全なファイアウォールの侵害の証拠として自動的に解釈することを避けるべきです。
しかし、インターネットに面したセキュリティアプライアンスの予期しない再起動は、特に実際に利用されている場合、依然として調査が必要です。
CVE-2026-76418の緩和策
Ciscoは、修正されたASAおよびFTDソフトウェアをリリースし、基礎的な脆弱性を完全に解決する代替手段がないため、アップグレードを強く推奨しています。
最初に修正されたCisco Secure Firewall ASAリリースは次の通りです：
| ASAリリースブランチ | 最初の固定リリース |
| 9.16以前 | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Secure FTDの場合、Ciscoは次の通りリストしています：
| FTDリリースブランチ | 最初の固定リリース |
| 7.0以前 | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
組織は、CiscoのSoftware Checkerと互換性ドキュメントを使用して、自分の特定のハードウェアと現在インストールされているソフトウェアブランチに適した固定リリースを決定すべきです。
Ciscoは脆弱性に完全に対処する代替手段をリスト化していませんが、セカンダリ認証に関する一時的な構成緩和策を文書化しています。
おすすめの CVE-2026-76418の緩和策は、 トンネルグループの構成に依存します。
DefaultWEBVPNGroupがセカンダリ認証を使用していない場合、管理者は次のようにしてトンネルグループリストを無効にできます：
no tunnel-group-list enable
これにより、ユーザーはリストから接続プロファイルを選択するのではなく、正しいプロファイルを知っている必要があります。
DefaultWEBVPNGroupがセカンダリ認証を使用する場合、管理者は次のようにしてそれを削除できる：
no secondary-authentication-server-group
しかし、Ciscoはセカンダリ認証の削除がリモートアクセスVPNの認証セキュリティの姿勢を低下させると警告しています。したがって、組織はこの一時的施策を慎重に評価して展開するべきです。
これらの変更は、パッチの代替ではなく、一時的なリスク削減措置として検討されるべきです。
利用がすでに行われているため、組織は次のシステムを優先すべきです：
- インターネットに面した
- 脆弱なASAまたはFTDリリースを実行している
- SSLリモートアクセスVPN接続を提供している
- セカンダリ認証を使用している
- 重要なリモートワークフォースまたは管理接続をサポートしている
セキュリティチームはまた、高可用性やフォールオーバーアーキテクチャがアップグレードの実施中の運用中断を軽減できるかどうかを確認すべきです。
アップデート適用後、稼働中のソフトウェアバージョンを確認し、アプライアンスが正常にサービスに復帰したことを確認してください。
管理者は、パッチ適用前の期間をカバーするシステムログを見直し、説明のつかないリロードや他の利用の兆候を確認すべきです。
疑わしい活動が特定された場合、関連する情報を保持します：
- ASAまたはFTDシステムログ
- リモートアクセスVPNログ
- 認証テレメトリ
- ファイアウォール構成履歴
- Upstream network flow data
- 上流のネットワークフローデータ
- 外部モニタリングデータ
Ciscoのセキュリティアドバイザリにリストされている適切な修正リリースにCisco Secure Firewall ASAまたはFTDソフトウェアをアップグレードしてください。管理者はまた、SSLリモートアクセスVPNが有効であるかどうかを確認し、すべての関連するトンネルグループをセカンダリ認証について検査し、DefaultWEBVPNGroup構成を見直すべきです。すぐにパッチ適用が不可能な場合、Ciscoはトンネルグループリストの無効化やセカンダリ認証の削除に関する一時的な緩和策を提供しています。これらの変更が機能に影響を与えたり、認証セキュリティを低下させる可能性があるため、それらを注意深く評価し、影響を受けたアプライアンスがアップグレードされるまで一時的にのみ使用すべきです。
Ciscoは可用性影響のみを公開しているため、対応者は確認された証拠と推測を区別するべきです。予期しないファイアウォールの再起動だけでは、攻撃者が構成ファイルや資格情報を取得したり、コードを実行したことを示していません。
それにもかかわらず、不明なデバイスリロードを経験している組織は、攻撃者が同時に他の技術を試みていなかったことを確認するために、隣接するシステムと認証活動を見直すべきです。
管理者は、公開されたエクスプロイトコードがないことを理由にアップグレードを遅らせることを避けるべきです。公表前に実際の活用が発生しており、少なくとも1人の攻撃者がすでに脆弱な行動を引き起こす能力を持っていることを示しています。 免責事項：
FAQ
すべてのCVEに対して検出コンテンツが利用可能であるとは限りません。現在のカバレッジについてはSOC Primeプラットフォームを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されるため、再度確認してください。
CVE-2026-76418とは何であり、どのように機能するのですか？
CVE-2026-76418は、Cisco Secure Firewall ASAおよびSecure FTDソフトウェアのリモートアクセスSSL VPN機能における高リスクのサービス拒否脆弱性です。この脆弱性は、影響を受けたトンネルグループでセカンダリ認証が設定されている場合に引き起こされるロジックエラーによるものです。認証されていないリモート攻撃者は、SSL VPNサービスに特別に作成されたリクエストを送信し、ファイアウォールを予期せずにリロードさせることが可能です。脆弱な処理パスに到達するために成功したVPNログインは必要ありません。
CVE-2026-76418はいつ初めて発見されましたか？
Ciscoは、2026年10月28日にこの脆弱性を公に開示しました。この問題は、Eric FernaldがCiscoのテクニカルアシスタンスセンターのサポートケースを解決する際に特定されました。CiscoのPSIRTは、2026年10月中に攻撃者がこの脆弱性を実際の環境で利用していることを認識しました。
CVE-2026-76418がシステムに与える影響は何ですか？
成功した悪用は、影響を受けたCisco ASAまたはFTDアプライアンスをリロードさせ、サービス拒否状態を引き起こし、ファイアウォールまたはリモートアクセスVPNの可用性を中断させる可能性があります。Ciscoは、この脆弱性に高い可用性の影響があるとしてCVSSスコア8.6を割り当てていますが、現時点で機密性や完全性への影響は文書化されていません。ベンダーは、この欠陥によりリモートコード実行やデータ窃取が発生したことは報告していません。
CVE-2026-76418は2026年にもまだ影響を与える可能性がありますか？
はい。この脆弱性はアクティブに悪用されており、影響を受けるトンネルグループでセカンダリ認証が設定されている場合に到達可能なSSLリモートアクセスVPNサービスがある脆弱なCisco ASAまたはFTDリリースを実行している組織にとっては依然としてリスクです。Ciscoの修正されたソフトウェアリリースにアップグレードされたシステムは、アドバイザリで説明されている脆弱性から保護されています。
CVE-2026-76418からどのようにして自分自身を守ることができますか？
