Cisco Secure Firewall ASA / FTD のSSL VPNに未認証DoS（回避策なし・悪用確認）

High（CVSS 8.6）に分類されるCisco Cisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD)の脆弱性です。Cisco Secure Firewall ASA / FTD の **リモートアクセス SSL VPN サービス**に、処理中のエラー確認が不十分な箇所がある。未認証のリモート攻撃者が装置を予期せず再起動させ、**サービス停止（DoS）を引き起こせる**。 CVSS は 8.6（High）。内訳は AV:N・AC:L・PR:N・UI:N・S:C・**C:N/I:N/A:H** である。情報漏えいも改ざんも無く、**可用性だけが H** という形で、DoS 脆弱性の典型的なベクタである。それでも 8.6 と高いのは、前提条件が無く（PR:N / UI:N）、スコープが変化する（S:C）ためである。 **S:C の意味を読み違えないことが重要である。** 落ちるのはファイアウォール自身だが、その影響は装置の外に及ぶ。VPN 装置が再起動すれば、そこを通っている全ユーザーの接続が切れ、境界の内側にある業務システムへ誰も到達できなくなる。**「可用性だけ」の脆弱性が、実際には全社の業務停止になり得る**のがこの位置に置かれた装置の特性である。 **Cisco PSIRT は 2026年8月に実際の悪用を確認したと明言している。** CISA も 2026-08-11 に KEV へ収載し、是正期限を 2026-08-14 に設定した。 **影響を受けるのは、リモートアクセス SSL VPN を有効にしている装置に限られる。** 具体的には `webvpn enable <interface>`、`crypto ikev2 enable <interface> client-services port <port>`、FTD では `zero-trust enable` のいずれかが設定されている場合である。この機能を使っていない装置は対象外なので、まず設定を確認して対象を絞るのが先である。 対象バージョンは ASA 9.16 / 9.18 / 9.20 / 9.22 / 9.23 / 9.24、FTD 7.0 / 7.2 / 7.4 / 7.6 / 7.7 / 10.0。**回避策は無い（Cisco は「There are no workarounds that address this vulnerability」と明記）**。

**回避策が無いので、更新するか機能を止めるかの二択になる。** Cisco が示す修正リリースへ上げるのが唯一の恒久対応である。ASA では 9.24 系が 9.24.1.221、9.23 系が 9.23.1.211、9.20 系が 9.20.4.235 など、系列ごとに最初の修正リリースが示されている。FTD は 7.7 系が `Cisco_FTD_Hotfix_AN-7.7.11.1-2.sh.REL.tar`、10.0 系が `Cisco_FTD_Hotfix_S-10.0.0.1-2.sh.REL.tar` のように **ホットフィックス**として提供される。自分の系列の最初の修正リリースは Cisco のアドバイザリ本文で確認すること（系列ごとに番号が異なる）。 **まず対象かどうかを設定で判定する。** `show running-config webvpn` でリモートアクセス SSL VPN が有効か、`show running-config crypto ikev2` で client-services が有効かを確認する。FTD は FMC 側で zero-trust の設定を見る。**該当しなければ更新の緊急度は下がる**（他の CVE と同じ通常の更新計画に載せてよい）。 **該当し、かつ即時に更新できない場合は、リモートアクセス SSL VPN を止めるかどうかの判断になる。** これは業務影響が大きいので、機能停止と DoS を受けるリスクを並べて経営判断する材料にする。中間案として、SSL VPN の待ち受けを特定の送信元アドレスに限定できる構成であれば、到達範囲を絞ることで露出を下げられる（ただし Cisco は回避策として認めていないので、更新の代替にはならない）。 **事後の確認は装置のリロード履歴で行う。** `show version` の稼働時間、`show crashinfo` の有無、syslog の再起動記録を点検する。**原因不明の再起動が繰り返されている装置は、この脆弱性を突かれている可能性がある**。DoS なのでファイルの改変やアカウント追加といった痕跡は残らず、再起動の記録が唯一の手がかりになる。

Cisco Cisco Secure Firewall ASA / Secure Firewall Threat Defense (FTD) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20349）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/14 です。早急な対応が推奨されます。