30秒で分かる結論

米Ciscoは2026年8月11日(現地時間)、企業のリモートアクセスVPN(社外から社内ネットワークへ安全に接続する仕組み)などに使われる「Cisco Secure Firewall」シリーズのASA(Adaptive Security Appliance)およびFTD(Firewall Threat Defense)ソフトウェアに、深刻な脆弱性が見つかったとするセキュリティアドバイザリを公開しました。識別番号「CVE-2026-20349」が割り当てられたこの脆弱性は、リモートアクセスSSL VPN機能を狙って細工したHTTPリクエスト(通信の要求)を送りつけるだけで、認証情報なし・利用者の操作なしに機器を強制的に再起動させられるというものです。CVSS(脆弱性の深刻度を示す共通の指標)v3.1のスコアは10点満点中8.6で「高」レベルとされています。Ciscoは自社製品セキュリティ対応チーム(PSIRT)が、この脆弱性がすでに実際の攻撃で悪用されていることを確認したと説明しており、米国のサイバーセキュリティ機関CISAはアドバイザリ公開と同じ8月11日、この脆弱性を「悪用が確認された脆弱性」の一覧に追加し、米連邦政府の民間機関に対して8月14日までの対応を義務付けました。

まず初めに

結論から言う。またCiscoのVPN機器かとため息が出る。今回の欠陥は、認証も要らなければクリックも要らない。ただ細工したリクエストを送りつけるだけで機器がリブートする、という乱暴さだ。しかもアドバイザリが出た時点で、すでに実際の攻撃で使われていたというから、後手どころか同時進行。米政府機関に与えられた猶予はわずか3日。宿題を土壇場で始める学生でももう少し余裕がある。企業の外部との出入り口を一手に引き受ける機器がこの状態というのは、正直笑えない冗談だ。※個人の感想です

何が起きているのか

Ciscoの説明によると、今回の脆弱性はASAおよびFTDソフトウェアの「リモートアクセスSSL VPN」機能が、特定のHTTPリクエストを処理する際のエラーチェック(通信内容が正しい形式かどうかを確認する処理)に不備があることが原因です。攻撃者は認証情報を持たず、利用者や管理者の操作を介することもなく、細工したHTTPリクエストをインターネット経由で送りつけるだけで、対象の機器を予期しない形で再起動させることができます。影響を受けるのは、SSL VPN・クライアントサービスを伴うIKEv2リモートアクセスVPN・FTDのZTNA(ゼロトラストネットワークアクセス)のいずれかを有効にしている機器です。

Ciscoは同社のセキュリティ対応チーム(PSIRT)が、この脆弱性を悪用した攻撃をすでに確認したとしています。米国土安全保障省傘下のサイバーセキュリティ機関CISA(Cybersecurity and Infrastructure Security Agency)は、アドバイザリが公開されたのと同じ2026年8月11日、この脆弱性を実際に悪用が確認された脆弱性の一覧「KEV(Known Exploited Vulnerabilities)カタログ」に追加しました。CISAは米連邦政府の民間機関に対し、公開からわずか3日後の8月14日までにこの脆弱性への対応を完了するよう義務付けています。Ciscoは影響を受けるASA・FTDの各リリース系統向けに修正済みソフトウェアをすでに公開しており、回避策(ワークアラウンド)は用意されていないとしています。

なぜ重要なのか

Ciscoが提供するASA・FTDは、企業や自治体が社外から社内ネットワークへ安全に接続するためのリモートアクセスVPNとして広く使われている製品です。VPN機器は性質上、社外のインターネットに向けて常時窓口を開けておく必要があるため、こうした境界に立つ機器の脆弱性は、社内ネットワークの外側にいる攻撃者にとって格好の標的になりやすいという特徴があります。今回の脆弱性は、認証を必要とせず遠隔から機器をダウンさせられるという性質上、悪用のハードルが低い点が懸念されています。実際に攻撃で機器が繰り返し再起動させられると、リモートワーク中の従業員や管理者、社外の取引先がVPN経由で社内システムにアクセスできなくなる可能性があります。

CiscoのASA・FTD製品をめぐっては、過去にもリモートアクセスVPN機能に関する脆弱性が実際の攻撃で悪用される事例が繰り返されてきました。JPCERT/CCは2025年にも、同様にASA・FTDのVPN機能に関する脆弱性(CVE-2025-20333、CVE-2025-20362)について注意喚起を出しています。企業の境界を守るはずの機器そのものが繰り返し攻撃の起点になっているという構図は、今回に限った話ではありません。

私たちへの影響

一般の消費者がCisco ASA・FTDを直接操作する場面はなく、この脆弱性を理由に個人が今すぐ何か設定を変える必要はありません。一方で、勤務先や取引先の企業がリモートアクセスVPNとしてこれらの機器を使っている場合、脆弱性が悪用されて機器が再起動を繰り返すと、テレワーク中に社内システムへ接続できなくなるといった形で業務に影響が及ぶ可能性があります。心当たりのある方は、社内の情報システム部門が本件の対応状況を把握しているか確認しておくと安心です。

企業の情報システム担当者は、Cisco公式のセキュリティアドバイザリを確認し、対象のASA・FTD製品を利用している場合は修正済みソフトウェアへの更新を優先的に行うことが推奨されます。あわせて、リモートアクセスSSL VPNサービスへの不審なHTTPリクエストがないか監視し、可能であればアクセス範囲を許可された利用者に限定することも、Cisco側が呼びかけている対策です。

初心者が知っておくべきこと

「VPNぶいぴーえぬ」とは、インターネットのような公衆回線上に、暗号化された専用の通信経路を作ることで、外出先や自宅など社外の場所からでも、社内ネットワークにあるファイルやシステムへ安全に接続できるようにする仕組みです。企業のテレワーク環境などで広く使われています。

「DoS攻撃どすこうげき(サービス拒否攻撃)」とは、対象のサーバーや機器に大量の通信を送りつけたり、処理の不備を突く特殊な通信を送ったりすることで、正常なサービス提供を妨害する攻撃手法です。今回のように、機器を強制的に再起動させて一時的に使えなくする手口もこの一種にあたります。

IT Postの見方

IT Postでは、今回の一件が突きつけているのは「境界を守る機器自体が最大の弱点になり得る」という、繰り返し指摘されてきた構造だと考えます。VPN機器は性質上インターネットに向けて常時窓口を開けておく必要があり、そこに脆弱性が見つかれば、攻撃者にとってこれほど都合のいい標的はありません。Ciscoに限った話ではありませんが、境界防御の要となる製品を選定・運用する側には、今後も継続的なパッチ適用体制を求めたいとIT Postは考えます。

CISAが定めた「3日間」という猶予期間の短さについては、行政機関の危機感の表れとして評価する一方、それだけ切迫した状況に至るまで放置されるべきではなかったとも言えます。攻撃者がアドバイザリの公開とほぼ同時に悪用を進めていた事実は、脆弱性情報が公開された瞬間から対応までの「時間差」こそが最大のリスクであることを、あらためて示しているとIT Postは考えます。※個人の感想です

今後どうなりそうか

CISAが定めた米連邦政府機関向けの対応期限は2026年8月14日で、日本時間ではすでに到来しています。民間企業や日本国内の組織に対する法的な対応義務はありませんが、CISAのKEVカタログに掲載された脆弱性は世界中の攻撃者に悪用の対象として広く知られる傾向があるため、対象製品を利用している組織は速やかな対応が求められます。IT Postでは、日本国内での被害報告や、Ciscoによる追加の対応情報があれば改めて取り上げます。