Cisco ASA・FTDのSSL VPNに悪用済みの脆弱性。機器を再起動させられるおそれ、修正版へ更新を

01発表されている事実

1. 10月28日
   シスコ

   CVE-2026-76418を公表（CVSS 8.6、重要度High）。「2026年10月、悪用を認識した」

2. 10月29日
   CISA

   KEVに追加

シスコによると、原因はトンネルグループ（接続プロファイル）に「二次認証」を設定したときの処理の誤りです。完全に防ぐ回避策はないとしています。

02自社が対象か確かめる

次の3つがすべて当てはまると対象です。

• ASAかFTDのソフトウェアが修正版より前
• SSLのリモートアクセスVPNが有効（ASAでは設定に webvpn と enable インターフェイス名 がある。FTDではFMCの「Devices > VPN > Remote Access」、またはFDMの「Remote Access VPN」に設定がある）
• どれかのトンネルグループに secondary-authentication-server-group がある。ログイン画面に出ていないグループや DefaultWEBVPNGroup も確かめる

主な修正版は、ASAが9.16.4.104、9.18.4.96、9.20.4.50、9.22.3.200、9.23.1.48、9.24.1.27（または9.24.10.1）。FTDが7.0.11、7.2.13、7.4.9、7.6.7、7.7.14、10.0.3、10.1.1です。クラウド型のCDFW、cdFMC、Secure Access、Secure FMCは対象外です。シスコの「Software Checker」で自社の版を入れて確かめられます。

03今すぐやること

1. 版と設定を確かめる。保守を販売店やSIerに任せている場合は、「CVE-2026-76418の対象か、更新予定はいつか」を問い合わせます。
2. 修正版へ上げる。シスコは一時的な対策より更新を勧めています。
3. すぐ更新できない場合の一時的な対策。DefaultWEBVPNGroupで二次認証を使っていなければ、WebVPNの設定で no tunnel-group-list enable を入れます（利用者は接続プロファイル名を知っている必要があります）。DefaultWEBVPNGroupで使っている場合は、二次認証を外す方法が示されていますが、VPNの守りが弱くなります。
4. 再起動の記録を見る。思い当たる理由のない再起動が続いていないか、ログを確かめます。

04同じことを防ぐには

VPN機器は止まるとテレワークも拠点間の通信も止まります。ファームウェアの定期的な更新を保守契約に入れておく、機器のログを監視してもらう、の2つが効きます。図鑑の「UTM・ファイアウォール」「法人VPN・リモートアクセス」「監視・SOC・MDR」で比べられます。