Cisco製ファイアウォール管理に固定パスワード CVE-2026-20316、悪用中

シスコが2026年7月29日、Cisco Secure Firewall Management Center（FMC）の脆弱性 CVE-2026-20316 を公表しました。製品の中にあらかじめ埋め込まれたパスワードが残っていて、それを知っていれば誰でもログインできてしまうというものです。シスコは告知の中で「2026年7月に、この脆弱性が実際に悪用されていることを把握した」と書いています。

米国のサイバーセキュリティ機関CISAは同じ日にこれを「実際に攻撃されている脆弱性」のリストへ載せ、連邦政府機関に8月1日までの対応を命じました。追加から期限まで3日間という短さです。回避策はなく、修正プログラムを当てるしかありません。

自分が対象かどうかを最初に切り分ける

対象は自社で運用しているタイプのFMCだけです。シスコの製品名は似たものが並ぶので、まずここを切り分けてください。

FMCは、社内にあるシスコ製ファイアウォールを1か所からまとめて設定・監視する管理コンソールです。ファイアウォール本体ではなく、その司令塔にあたります。シスコのデータシートは、FMCを「重要なネットワークセキュリティ製品を管理する神経中枢」と表現しています。

修正は通常のバージョンアップではなく、ホットフィックス（緊急の修正ファイル）として提供されています。使っている系列に合ったものを当ててください。

米国の脆弱性データベース（NVD）が影響範囲として登録している版には7.3系（7.3.0〜7.3.1.2）も含まれますが、シスコのホットフィックス一覧に7.3向けは載っていません。7.3系を使っている場合は、シスコのサポート窓口に個別に確認してください。

誰が狙う穴なのか

ファイアウォールの管理画面は、企業ネットワークへ長く居座りたい攻撃者にとって最上級の獲物です。国家の支援を受けた諜報目的のグループと、身代金を要求するランサムウェアの運営者。どちらも同じ場所を見ています。侵入して盗むだけなら他にも経路はありますが、ファイアウォールの司令塔を握れば「通信を許可する側」に回れるからです。

今回のような固定パスワードは、その入口として使われます。まず低い権限のアカウントで正面からログインし、そこを足場に別の欠陥へつなげて管理者権限まで登る。シスコ自身、この脆弱性の危険度を実際の数値より高く扱った理由として「他のFMCの脆弱性と組み合わせて権限を昇格させるのに使える」と説明しています。単体では小さくても、部品として優秀だということです。

乗っ取られた場合に失われるものは、ファイアウォール1台分では済みません。設定を書き換えて特定の通信だけ通す穴を開けられれば、外からの侵入が自由になります。ログを消されれば、いつ何をされたのかを後から追えなくなります。実際、シスコが同じ製品で2026年3月に公表した別の脆弱性は、ランサムウェア集団に36日間もゼロデイとして使われていたことが後から判明しています。守るための機械が、真っ先に狙われる対象になっているのが現状です。

何が起きているのか

CVE-2026-20316：製品に埋め込まれたままの合言葉

分類はCWE-259（ハードコードされたパスワードの使用）です。ソフトウェアの中に、開発時に仕込んだアカウントとパスワードがそのまま残っている状態を指します。利用者が変更することはできず、同じ製品を使っている全世界の機器で同じ文字列が有効になります。

シスコの説明によれば、FMCの管理画面に対して認証なしの攻撃者がネットワーク越しに、低い権限のアカウントでログインできる状態でした。ログインしたあと閲覧できるのは機密情報で、それ自体が直接の乗っ取りにはなりません。ただし前述のとおり、他の欠陥と組み合わせる踏み台になります。

報告したのはHorizon3.aiのJimi Sebree氏です。シスコの社内バグ番号はCSCwt95997、告知は7月29日16時（協定世界時）に公開されました。回避策は提供されていません。

CVE-2026-20079：同じ日に更新された、危険度10.0の相方

シスコは7月29日、CVE-2026-20316の公表とほぼ同時刻に、既存の脆弱性CVE-2026-20079の告知をバージョン2.0へ更新しています。こちらは危険度が最大の10.0で、認証を回避される欠陥です。更新で追加されたのは、侵害の痕跡（後述）とホットフィックスでした。

なお、この2件が同一の攻撃で連鎖して使われたのかどうかを、シスコは明言していません。ただし公開が5分違いで、更新側に実際のログを思わせる痕跡情報が加わったという事実は残ります。

CVE-2026-20131：2026年3月、ランサムウェアに36日先行された件

同じFMCで、2026年3月19日にもCISAのリスト入りがありました。危険度10.0で、管理画面にデータを送るだけで最高権限を奪える欠陥です。CISAのリストでは、この件だけ「ランサムウェアでの悪用が確認済み（Known）」と記録されています。今回のCVE-2026-20316は「不明（Unknown）」です。この2件を混同した記事が出回っているので注意してください。

危険度は5.3。なのに「高」で、期限は3日

この件で混乱しやすいのが、評価の数字がバラバラに見えることです。整理するとこうなります。

CVSSは、その脆弱性を単体で見たときの技術的な深刻さを表す共通のものさしです。今回は「機密性への影響が小さい・完全性と可用性への影響なし」という評価で5.3になりました。数値だけ見れば緊急には見えません。

しかしシスコは告知に、この評価を明示的に覆す一文を入れています。「Ciscoはこのアドバイザリに、スコアが示すMediumではなくHighのSecurity Impact Ratingを割り当てた。理由は、この脆弱性が他のCisco Secure FMC Softwareの脆弱性と併用して権限昇格に使えるためである」。ベンダー自身が「点数は当てにするな」と言っている形です。

CISA側の3日という期限も異例の短さです。2026年6月に出された指令BOD 26-04により、一律の期限ではなく、インターネットへの露出の有無や自動化のしやすさなどからリスクを階層化して期限を決める方式に変わっています。今回の3日は、その枠組みで最上位に置かれたということです。7月29日にリストへ追加されたのはこの1件だけでした。

攻撃中の脆弱性が今どれだけ登録されているかは、CISAのリストを日本語で全件検索できるダッシュボードで確認できます。7月29日版の収録件数は1,656件です。

その合言葉、4か月前に公開されていた

この件で最も引っかかるのは、時系列です。

セキュリティ企業VulnCheckのCale Black氏は、2026年3月26日に公開したCVE-2026-20079の解析記事の中で、FMCに埋め込まれた認証情報を実名で書いています。記事にはこう書かれています。

同じ記事には、該当箇所のソースコードもそのまま載っています。change_password("report", "snortrules") という行です。他にも csm_processes:csmdaemon など複数の組み合わせが列挙されています。

つまり、シスコが7月29日にCVE-2026-20316として切り出した「静的な認証情報」は、その4か月前から技術ブログ上に平文で書かれていたことになります。攻撃用のプログラムが公開されているかを調べても見つかりません。GitHubで検索しても該当リポジトリは0件です。ただしこの脆弱性は、性質上そもそもプログラムを必要としません。ユーザー名とパスワードを知っていれば、ブラウザでログイン画面に入力するだけだからです。

3月26日に情報が公開され、7月に悪用が検知され、7月29日にCVE番号が付いた。この4か月が何だったのかについて、シスコは説明していません。

すでに侵入されていないかを確認する方法

悪用が確認されている以上、修正を当てて終わりにはできません。シスコは告知に、侵害の痕跡（IoC）を調べる手順を載せています。

FMCのエキスパートモードで cat /var/log/messages | grep license を実行し、出力に /var/tmp/license.tmp を含む行がないかを確認します。シスコが例として挙げているのは次の行です。

Webサーバーの実行ユーザーが、最高権限でライセンスファイルの処理プログラムを動かした記録です。通常は現れません。該当する行が見つかった場合、シスコはサポート窓口（TAC）へ連絡したうえで、すべての認証情報・鍵・証明書を入れ替えるよう求めています。パッチだけでは、すでに盗まれたものは戻らないためです。

先に触れたVulnCheckの解析によると、攻撃の流れは、固定の識別子でセッションを固定し、この report アカウントで権限を上げ、画面から必要な合言葉を取り出し、/var/tmp/license.tmp へファイルを書き込み、それを最高権限で実行させるというものでした。シスコが挙げた痕跡の場所が、この最後の一歩と一致しています。

露出しているのは数百台。だが1台の重みが違う

管理画面がインターネットから見える状態にあるFMCの台数は、VulnCheckの調査（2026年3月26日時点）でCensysが約300台、FOFAが600〜700台とされています。同じ条件でも調査サービスによって倍近い開きがあるので、「数百台規模」という幅で受け取るのが妥当です。

数字だけ見れば少なく感じます。ただしFMCは1台で多数のファイアウォールを束ねる装置で、シスコのデータシートによれば物理機のFMC 4700は最大1,000台を管理できます。300台という数は、その背後に数万台規模の機器がぶら下がっている可能性を含んでいます。台数の少なさは、そのまま影響の小ささにはなりません。

注意点を2つ。この数字は「管理画面が外から届く台数」であって「未対応の台数」ではありません。もうひとつ、出典はVulnCheckの記事1本で、独立した裏付けはありません。7月のリスト入り後に測り直したデータも公表されていません。

なお、検索で見かける「約4万8,000台」「日本国内2,300台」という数字はFMCではなくASA／FTD（ファイアウォール本体）のもので、2025年9月の別件です。混同しないでください。日本国内のFMC設置台数を示す公開データは確認できませんでした。

それでも実務上の対処は変わりません。管理画面をインターネットへ直接出さないこと。シスコもNVDの説明文に「FMCの管理インターフェースがインターネットに公開されていない場合、この脆弱性に関連する攻撃面は縮小される」と明記しています。露出していなくても、社内に侵入済みの相手には有効な穴なので、ホットフィックスは当ててください。

日本ではまだほとんど報じられていない

7月30日時点で、この件を報じた日本語記事はSecurity NEXTの1本だけです。CVSS 5.3、シスコの評価は4段階中2番目の「高」、2026年7月に悪用を把握、CISAが8月1日までの対応を要求、という要点を伝えています。

JPCERT/CCの注意喚起とWeekly Report、IPAの重要なセキュリティ情報、JVNのいずれにも、7月30日時点で本件の掲載は確認できませんでした。JPCERT/CCのWeekly Reportは7月29日号の対象期間が7月19日〜25日なので、次号以降に載る可能性はあります。英語圏でも、報じているのはBleepingComputerの記事がほぼ唯一です。

悪用を観測したと言っているのがシスコのPSIRTだけである点も、正確に押さえておくべきところです。攻撃の開始時期、攻撃者の正体、標的となった組織、観測件数のいずれも公表されていません。シスコ傘下の脅威調査部門Talosも、本件については何も出していません。2024年のASA/FTDを狙った攻撃キャンペーンでは詳細なレポートを出していたことを思うと、対照的です。

やることは単純です。自社設置のFMCを使っているなら、系列に合ったホットフィックスを当てる。管理画面がインターネットから見えていないか確認する。ログに /var/tmp/license.tmp の痕跡がないか調べる。この3つを、8月1日を目安に済ませてください。連邦機関向けの期限ではありますが、悪用が進行中である以上、民間でも先延ばしにする理由はありません。

参照元

• ▸ Cisco Security Advisory - Cisco Secure Firewall Management Center Software Static Credential Vulnerability（cisco-sa-fmc-static-cred-BET3Cjh）（2026年7月29日）
• ▸ NVD - CVE-2026-20316
• ▸ CISA - Known Exploited Vulnerabilities Catalog（2026年7月29日版、収録1,656件）
• ▸ CISA - BOD 26-04: Prioritizing Security Updates Based on Risk
• ▸ VulnCheck - Cisco FMC Auth Bypass (CVE-2026-20079)（2026年3月26日、Cale Black）
• ▸ BleepingComputer - Cisco warns of FMC static credential flaw exploited in zero-day attacks（2026年7月29日）
• ▸ Security NEXT - ファイアウォール管理製品「Cisco FMC」に脆弱性 - すでに悪用も（2026年7月30日）
• ▸ Cisco - Secure Firewall Management Center データシート