米CISA(サイバーセキュリティ・インフラセキュリティ庁)は2026年10月29日、Cisco Secure Firewall ASA SoftwareおよびCisco Secure FTD Softwareに存在する脆弱性「CVE-2026-76418」を、実際に悪用が確認された脆弱性の一覧であるKnown Exploited Vulnerabilities(KEV)カタログに追加した。この脆弱性は未認証の攻撃者がリモートからネットワーク経由でデバイスを異常再起動させ、サービス停止(DoS)を引き起こせるというものだ。ASAやFTDはインターネットと内部ネットワークの境界に設置され、通信の許可・遮断を一手に担う中核機器であるため、これが停止すれば通信断絶や保護機能の消失につながりかねない。境界防御として運用している企業・組織は影響を受ける可能性があり、早急な状況確認が求められる。
脆弱性の概要と影響を受ける製品
本脆弱性は、戻り値の未チェックに起因するNULLポインタ参照(CWE-690)が原因とされている。概要は以下の通り。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-76418 |
| ベンダー | Cisco |
| 影響製品 | Cisco Secure Firewall ASA Software / Cisco Secure FTD Software |
| 脆弱性名 | Unchecked Return Value to NULL Pointer Dereference Vulnerability |
| CWE分類 | CWE-690 |
| 想定される影響 | 未認証の遠隔攻撃者によるデバイスの意図しない再起動、サービス停止(DoS) |
| KEVカタログ追加日 | 2026年10月29日 |
CWE-690は、関数が異常やエラーを示す戻り値(NULLなど)を返したにもかかわらず、呼び出し側がそれを確認せずに後続処理でそのポインタを参照してしまうという、ソフトウェア実装における典型的な不備のカテゴリである。参照先が存在しない(NULL)状態でメモリアクセスを試みると、プロセスは異常終了し、結果として機器全体の再起動やサービス停止に至る。なお、Ciscoのアドバイザリ名には「tunnel-dos」という文字列が含まれており、トンネル処理に関連する機能が関係している可能性がうかがえるが、具体的な処理内容や影響範囲の詳細はベンダーのセキュリティアドバイザリを確認してほしい。影響を受ける具体的なバージョン範囲や該当製品のライン(ハードウェア/仮想アプライアンス等)の詳細も、公式情報には明示されていない。
深刻度と悪用状況
本脆弱性のCVSS 3.1基本値は8.6(HIGH)、ベクトルはAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:Hと評価されている。これは、攻撃者が認証やユーザー操作を必要とせず、インターネット越しに低い攻撃条件でデバイスを攻撃できることを示している。一方で機密性(C)・完全性(I)への影響は「なし」とされており、情報漏えいやデータ改ざんではなく、可用性(A)、つまりサービス停止に特化した脆弱性である点が特徴だ。
CISAのKEVカタログに掲載されたという事実は、この脆弱性が理論上のリスクではなく、実際の攻撃で悪用が確認されたことを意味する。ランサムウェアキャンペーンでの悪用については「不明」とされているが、悪用が確認されている以上、放置すれば業務継続に直結するファイアウォール機能そのものが停止するリスクがある。一般にファイアウォールが異常再起動すると、再起動完了までの間はトラフィックの検査・制御が一時的に停止、あるいはフェイルオーバー構成であっても切り替え処理中に短時間の通信断が発生する可能性があり、繰り返し攻撃を受ければ継続的な可用性低下につながる。米連邦機関には2026年11月1日までの対応期限が設定されており、民間組織も同様のスピード感での対応が望ましい。
境界防御機器のDoSがもたらす事業影響
ASAやFTDのようなファイアウォール/侵入防止機器は、単体のサーバーとは異なり、ネットワーク全体の通信経路上に位置することが多い。このため1台の異常再起動であっても、その配下にある業務システム・拠点間通信・VPN接続など複数のサービスへ影響が波及する可能性がある。特にリモートアクセスVPNの終端装置として稼働している場合、再起動中は従業員の社外からの接続が一時的に利用できなくなるなど、業務停止に直結するケースも想定される。冗長構成(アクティブ/スタンバイやクラスタ構成)を組んでいる組織であっても、攻撃者が繰り返しクラッシュを誘発させれば、フェイルオーバーの繰り返しによって通信が不安定化するリスクが残る点に留意したい。
ベンダーはどんな修正を行ったか
CiscoはセキュリティアドバイザリCisco-SA-asaftd-tunnel-dos-s6mgkb75で本脆弱性に関する情報を公開している。CWE-690(戻り値の未チェックによるNULLポインタ参照)という分類から、特定の処理において関数の戻り値が適切に検証されず、本来エラーとして処理すべきケースでNULLポインタを参照してしまい、プロセスが異常終了(クラッシュ)に至る、という典型的な実装上の不備が原因と考えられる。こうした不備は、想定外の入力や異常なパケット構造を処理する経路で見落とされやすく、通常の通信では発現しないが、悪意を持って作成された特殊な通信を送られることで初めて表面化する傾向がある。修正では、該当する戻り値のチェック処理を追加し、異常な入力やパケットを受け取った際にクラッシュせず安全にエラー処理へ移行するよう改修されたとみられる。ただし、修正済みソフトウェアの具体的なバージョン番号や、修正が適用されたリリース系列については公式情報に記載がない。詳細はベンダーのセキュリティアドバイザリを確認してください。
今すぐやるべき対策手順
- ①バージョン確認: 運用中のASA/FTDのソフトウェアバージョンを
show versionコマンド等で確認し、Ciscoのアドバイザリに記載された該当有無を照合する。複数拠点に機器を展開している組織は、資産管理台帳と照らし合わせて漏れなく確認することが重要だ。 - ②アップデート適用: ベンダーが提供する修正済みソフトウェアが存在する場合は、速やかに適用する。適用前には必ず設定バックアップを取得し、検証環境での動作確認を推奨する。特にVPNや冗長構成を組んでいる環境では、適用順序やメンテナンスウィンドウの計画も併せて検討したい。
- ③回避策(緩和策)の検討: 修正の即時適用が難しい場合は、管理インターフェースやVPN関連機能へのアクセスを信頼できるIPアドレスに制限する、不要なサービスを無効化するなど、攻撃対象面を縮小する暫定対応を行う。
- ④侵害有無の確認: デバイスのログやクラッシュ履歴、syslog、SNMPアラートなどを確認し、不審な再起動や予期しないダウンタイムの履歴がないかを点検する。異常があれば自組織のインシデント対応手順に従い調査する。
- ⑤BOD 26-04への準拠(政府機関・関連組織): CISAのBOD 26-04「Prioritizing Security Updates Based on Risk」およびForensics Triage Requirementsのガイダンスに従い、インターネット公開資産の洗い出しとパッチ適用の優先順位付けを行う。
よくある質問
Q1. この脆弱性で情報が盗まれる可能性はありますか?
公式情報によれば、CVSSベクトルのC(機密性)・I(完全性)はいずれも「影響なし」とされており、本脆弱性はデバイスの再起動によるサービス停止(DoS)が想定される影響であり、情報漏えいやデータ改ざんは想定されていない。
Q2. 修正パッチがまだ適用できない場合はどうすればよいですか?
CISAのガイダンスでは、ベンダー指示に沿った緩和策の実施、またはBOD 26-04の該当ガイダンスに従うこと、緩和策が利用できない場合は該当製品の利用停止を検討することが求められている。自組織のインターネット露出資産を評価し、優先的に対応することが重要だ。
Q3. 社内ネットワークのみで使用しているASA/FTDも対応が必要ですか?
CVSSベクトルのAV(攻撃元区分)は「N(ネットワーク)」であり、攻撃者が同一ネットワーク内、あるいは管理インターフェースに到達可能な位置にいれば悪用できる可能性がある。インターネットに直接公開していない機器であっても、内部ネットワークへの侵入を前提とした多層防御の観点から、同様に資産評価とパッチ適用の優先順位付けを行うことが望ましい。
まとめ
CVE-2026-76418はCisco Secure Firewall ASA/FTD Softwareに存在する、未認証の遠隔攻撃者によるDoSを引き起こす脆弱性であり、CISAのKEVカタログに掲載されるほど実害の悪用が確認されている。CVSS 8.6(HIGH)という深刻度に加え、米連邦機関の対応期限が2026年11月1日に設定されている点からも、対応の緊急性は高い。ASA/FTDを運用するすべての組織は、バージョン確認とアップデート適用、回避策の実施、そしてログ点検による侵害有無の確認を今すぐ行うべきである。
