Cisco ASA・FTDのSSL VPN脆弱性が悪用―CVE-2026-76418の対象と修正版
深刻度はHigh、CVSS 8.6。ログイン画面に表示されない接続グループも確認対象です。認証を弱める暫定策より、修正版への更新を優先します。
公式公表日（日本時間。GMTでは28日）：2026-10-29 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Ciscoは2026年10月29日4時15分（日本時間）、ASA・FTDのSSL VPNに関するCVE-2026-76418を公表しました。10月中に実悪用を確認しており、認証されていない攻撃者が機器を再起動させ、VPNなどの通信を停止させるおそれがあります。深刻度はHigh、CVSS v3.1は8.6です。
対象となるのは、脆弱な版でSSLリモートアクセスVPNのログインサービスに到達でき、対象の接続グループに二次認証を設定している構成です。認証処理のロジックに不備があり、攻撃にVPNへのログイン成功は必要ありません。
確認する範囲は、接続グループの一覧を表示する設定によって変わります。一覧が有効なら、既定のDefaultWEBVPNGroupを含めた全グループの二次認証を確認します。画面に表示されるグループだけでは不十分です。一覧が無効でも、既定グループが二次認証を使っていれば影響が残ります。FTDでは配備済みのポリシーと機器の稼働設定も照合してください。
最初の修正版は、ASA 9.20系が9.20.4.50、9.22系が9.22.3.200、FTD 7.4系が7.4.9、7.6系が7.6.7などです。これ以外の系統も公式告知のFixed Software表に掲載されています。機器の互換性と稼働版を確認し、対応する修正版を選びます。
Ciscoは脆弱性そのものを解消する回避策はないとし、設定に応じた一時的な緩和策を示しています。ただし二次認証を解除するとVPNの防御が弱まり、グループ一覧を隠す変更も利用者の接続操作に影響します。一律に設定を変えず、保守担当者と修正版の適用を優先してください。
出典と編集について
Cisco：Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。