Ciscoの社外接続装置が外から落とされる CVE-2026-20349、対象版と直し方

社外から社内ネットワークへ安全につなぐための装置として広く使われているCiscoのファイアウォールに、ログインもパスワードも要らず、外から装置を再起動させて通信を止められる欠陥が見つかりました。識別番号はCVE-2026-20349、危険度は10点満点の8.6です。

やっかいな点が3つ重なっています。すでに実際の攻撃で使われていること。回避策が一つもないこと。そして米政府が対処期限を8月14日に設定したことです。公表が8月11日ですから、猶予は実質3日という異例の短さです。

先に安心材料も書いておきます。この欠陥でデータが盗まれることはありません。改ざんもされません。起きるのは「装置が再起動して、通信が切れる」ことだけです。ただし切れるのがテレワークの接続や拠点間をつなぐ回線そのものなので、業務が止まる形の被害になります。自社でCiscoのファイアウォールを運用していて、社外接続用のVPNを有効にしているなら、対象かどうかを今日中に確認してください。

そもそもこの装置は何をしているのか

対象になっているのは、Ciscoの「Secure Firewall ASA」と「Secure Firewall Threat Defense（FTD）」という2つの製品です。名前は違いますが、どちらも会社の入口に置かれるファイアウォール——社内と社外の境目に立って、通していい通信とそうでない通信を仕分ける装置です。

今回問題になっているのは、その中の「社外から社内につなぐ窓口」の機能です。自宅や出張先から会社のシステムにアクセスするとき、多くの企業ではこの装置が本人確認をして、暗号化された通り道を作ってくれています。いわゆるVPNです。この窓口の受付処理に不備がありました。

大事なのは、この窓口はインターネットに向けて開いていないと機能しないという点です。社外からつなぐための入口ですから、当然そうなります。つまり攻撃者から見て、最初から見えている場所にあります。社内の奥にあるサーバーとは、危険の質が違います。

なお、これらの装置をまとめて管理する「Secure Firewall Management Center（FMC）」は今回の影響を受けません。同じCisco製品でも別物です。FMCについては別の脆弱性を解説した記事があります。

CVE-2026-20349で何が起きるのか

仕組みそのものは単純です。Ciscoの公式勧告は原因を「HTTPリクエストを処理する際のエラー確認が不十分だった」と説明しています。細工した通信を1つ送ると、装置がそれをうまく処理しきれず、そのまま再起動してしまう。それだけです。

危険度が8.6という高めの数字になっているのは、影響が装置の中で完結しないからです。この評価には「範囲の変更」という項目があり、壊れるのは装置1台でも、その装置を通っていた通信すべてが巻き添えになる点が数字に織り込まれています。情報の流出も改ざんも「なし」と評価されているのに8.6まで上がるのは、そのためです。

誰が狙い、何が起きるのか

正直に書きます。誰が攻撃しているのかは公表されていません。Ciscoは「2026年8月、実際に悪用されていることを把握した」と書いているだけで、攻撃者の名前も、侵入の痕跡を探す手がかりも、狙われた業種も一切出していません。ここは分からないまま書くしかありません。

それでも、この穴で攻撃者ができるのは「会社の外との通り道を落とすこと」だけです。データを持ち出せるわけでも、装置を乗っ取れるわけでもありません。だからこそ「なぜ狙うのか」という疑問が残ります。考えられるのは、業務妨害そのものを目的とする場合と、別の攻撃に付随して使う場合です。

失うものは、立場によってはっきり分かれます。会社で働く人にとっては、ある朝いきなり社内システムにつながらないという形で現れます。自宅から勤怠も経費精算もできず、拠点間でファイルもやり取りできない。運用する情報システム部門にとっては、認証も不要で外から何度でも送れる以上、更新を当てるまで同じことを繰り返される状態に置かれます。VPN機器が止まったときに会社の業務がどこまで巻き込まれるかは、VPN装置を起点に決算業務まで止まった事例で具体的に見ています。

なお、Ciscoのファイアウォールは2025年にも国家が関与したとみられる大規模な攻撃の標的になっており、その際は調査を妨害する目的で装置をわざとクラッシュさせる手口が使われていました。今回の穴はまさに「クラッシュさせられる」ものですが、両者を結びつける公表情報は現時点でありません。連想はできても、事実として書ける段階にはないので、ここでは指摘に留めます。

自分の装置が対象かどうかの見分け方

ASAまたはFTDを使っていても、全台が対象というわけではありません。判定の分かれ目は「社外からつなぐための窓口を開いているか」です。Ciscoは、次の設定のいずれかが有効な装置が対象だとしています。

言い換えると、社外からのVPN接続を受け付けている装置が対象です。社内のセグメント間の仕切りとしてだけ使っていて、外からの接続窓口を開いていない装置は、この穴の対象外になります。まずは設定を確認してください。

更新先のバージョン、ただし「ホットフィックス」です

ここは少し注意が要ります。Ciscoが用意したのは通常のバージョンアップではなく、この穴だけを塞ぐ緊急の修正プログラム（ホットフィックス）です。系統ごとに番号が違うので、自分の使っている系統の行を見てください。

落とし穴が1つあります。ASAで「89」から始まるホットフィックス（9.16系と9.18系）を入れる場合、管理ツールのASDMを7.24.1.374以降にしておく必要があります。古いASDMはこの番号の付け方を認識できず、正しく扱えません。先にASDMを上げてからホットフィックスを当ててください。

FTDについては、同じ系統でも装置の機種（FP1K／FP2K／FP3K／各シリーズ）ごとにファイルが分かれています。公式勧告のダウンロード欄で、自分の機種に対応するものを選んでください。

なお、ASAの9.12／9.14／9.17／9.19系と、FTDの7.1／7.3／7.5系は、公式勧告の表に記載がありません。サポートが終わっている系統である可能性が高いのですが、Cisco側にその旨の明示的な記述もありません。該当する系統を使っている場合は、Ciscoのサポート窓口に直接確認するのが確実です。

確認できていること、まだ分からないこと

露出台数について補足します。この脆弱性に該当する装置が世界に何台あるかは、まだ誰も数えていません。参考として、2025年9月に別の脆弱性で調査されたときは、世界で48,800台以上、うち日本が約2,300台でした。今回の数字ではありませんが、Cisco製ファイアウォールが日本にどれだけ置かれているかの目安にはなります。

【2026年8月17日追記】期限を過ぎましたが、状況はほとんど動いていません

米政府が設けた8月14日の対処期限から3日が経ちました。追加で分かったことを確認したところ、新しい事実はほとんど出てきませんでした。慌てて追加の対応を取る必要はない、というのが現時点の結論です。ただし恒久版がまだ出ていないため、ホットフィックスを入れた装置の管理だけは続ける必要があります。

Ciscoの勧告は初版のまま、攻撃の手がかりも出ていません

Ciscoの公式勧告を8月17日に取得して改訂履歴を確認しましたが、2026年8月11日公開のVersion 1.0のまま、一度も改訂されていません。悪用に関する記述も初出時の「2026年8月に実際の悪用を把握した」という一文から変わっておらず、攻撃者・標的の業種・観測件数・侵入の痕跡を探す手がかり（IoC）は、いずれも公表されていません。

勧告から新たに拾える実務情報としては、Cisco社内の不具合管理番号が CSCwv96220 であること、検知用の Snort（ネットワークを流れる通信から攻撃の兆候を見つけるソフト）ルールとして 46897 と 59654 が案内されていることが挙げられます。自社で通信の監視をしている場合は、この2つのルールが有効になっているか確認しておくとよいでしょう。

CISAからの追加のお達しもありません

期限が過ぎた後、CISAの勧告一覧を確認しましたが、Cisco ASA／FTDに関する新しい警告や緊急指令は出ていません。攻撃確認リスト（KEV）側の記載も、8月11日の登録内容から変わっていません。KEVの最新の登録状況はこちらでも追えます。

露出台数についても進展はありません。Shadowserver（世界中の危ない機器を毎日数えて公表している非営利団体）の集計対象一覧を確認したところ、2026年に採番された脆弱性が48件掲載されている中に、CVE-2026-20349は含まれていません。つまりこの脆弱性についての日次計測はまだ始まっていません。Censysの勧告一覧にも該当エントリはありませんでした。本文の前半で引用した2025年9月の48,800台という数字はあくまで別の脆弱性の調査結果であり、今回の数字ではない点を改めて申し添えます。

NVDとCiscoで、対象バージョンの見解が食い違っています

今回いちばん実務に効きそうな発見がこれです。米国政府の脆弱性データベースであるNVDは、8月12日の更新で対象製品の一覧を確定させました。そこにはASA 9.19.1系（9.19.1から9.19.1.42までの13バージョン）と、FTD 7.3.0／7.3.1／7.3.1.1／7.3.1.2が「影響あり」として含まれています。

ところがCiscoの勧告が示す修正版の一覧には、この9.19系・7.3系向けのホットフィックスが1つも載っていません。掲載されているのはASAが9.16／9.18／9.20／9.22／9.23／9.24、FTDが7.0／7.2／7.4／7.6／7.7／10.0だけです。「移行してください」といった注記も、保守終了に関する説明もありません。

9.19系・7.3系を使っている組織は、Ciscoのサポート窓口に個別に問い合わせるのが確実です。データベース上は脆弱とされているのに、当てるものが用意されていない状態だからです。ASA 9.12／9.14／9.17、FTD 7.1／7.5については、NVDの一覧にもCiscoの修正版一覧にも登場せず、扱いが明文化されていません。JVN iPediaは影響範囲を「FTD 7.0.xから7.7.13および10.0.x／ASA 9.16.xから9.24.1」としており、こちらもまた別の切り方です。

恒久版はまだ出ていません

勧告の修正版一覧は8月17日時点でもホットフィックスの表2つだけで、通常のメンテナンスリリース（9.20.5や9.22.4といった通し番号の版）は1つも載っていません。ASA 9.16／9.18向けの 89.16.4.50 ／ 89.18.4.50 という特殊な採番はそのままで、「89で始まるホットフィックスを入れる場合はASDM 7.24.1.374が必要（古いASDMはこの採番形式を認識できない）」という注記も残っています。ホットフィックスを当てた装置は、恒久版が出たら改めて載せ替える前提で管理してください。

過去の国家系キャンペーンとの関係も、やはり示されていません

Cisco製ファイアウォールは過去にも国家関与が疑われる攻撃の標的になってきました。ただし、2024年のArcaneDoorに関するCiscoの特設ページに載っているのはCVE-2024-20353／20358／20359の3件、2025年から続く攻撃の特設ページ（最終更新2026年4月24日）に載っているのはCVE-2025-20333／20362／20363の3件で、どちらにもCVE-2026-20349は記載されていません。KEVのランサムウェア利用欄も「Unknown」のままです。本記事は公開時からこの点を断定していませんが、8月17日時点でも結びつける材料は出ていない、と確認できました。

国内の反応は、いまも静かなままです

JPCERT/CCの注意喚起一覧を確認しましたが、8月分に掲載されているのはNetScaler、Metabase、Microsoft製品、Railsに関するもので、Cisco ASA／FTDに関する注意喚起は出ていません。IPAの重要なセキュリティ情報も、8月分はMicrosoft製品の1件のみです。

一方で、記事公開時に「掲載がない」と書いたJVNについては訂正が必要です。JVN iPediaには8月11日付でJVNDB-2026-028127として登録されており（更新は8月13日、CVSS v3で8.6、CWE-244）、8月12日時点ですでに存在していました。ただしこれは海外の情報を自動的に収録するデータベースの項目であって、日本語での注意喚起ではありません。国内メディアもSecurity NEXTの8月12日の記事が引き続き唯一で、この記事はCVE番号・深刻度・ホットフィックス・FMCが影響を受けないことには触れているものの、KEVへの登録や8月14日の期限には言及していません。追随した記事も見当たりませんでした。

攻撃が実際に起きていて、米政府が期限まで切った案件に対して、国内の公的機関が1週間近く沈黙している。この状態そのものが、日本の利用者にとっては見落としのリスクになります。国内の注意喚起を待っていると気づくのが遅れるという点は、今回に限らず覚えておいてよさそうです。

気になる点：Ciscoが付けた分類が、中身と合っていません

細かい話ですが、記録として書いておきます。この脆弱性にはCWE-244という分類が付けられています。これは「メモリを解放する前に中身を消していないため、あとから他人に読まれてしまう」という情報漏えい系の弱点を指す番号です。

ところが、この脆弱性の評価は情報の流出「なし」・改ざん「なし」・可用性のみ影響です。原因の説明も「HTTPリクエストの処理でエラー確認が不十分」であって、メモリの消し忘れではありません。分類と中身が噛み合っていません。

米政府のリストにこの脆弱性が「ヒープ検査の脆弱性」という名前で載っているのは、この分類番号から機械的に名付けられたためです。CISAの誤りではなく、元をたどればCisco側の分類付けに起因します。対処の内容は変わりませんが、「名前を見て情報漏えいだと思ってしまう」誤解は避けたいので、ここで整理しておきます。

今すぐやるべきこと

順番はこうです。まず自社のASA／FTDが対象の設定になっているかを確認する。前述の3つの設定のいずれかが有効なら対象です。社外からのVPN接続を受け付けている装置は、まず該当すると考えてください。

次にホットフィックスを当てる。これが唯一の対策です。回避策はありません。9.16系と9.18系の場合は、先にASDMを7.24.1.374以降へ上げてから作業してください。ファイアウォールの更新は再起動を伴うため、通信断が発生します。止まるタイミングを自分で選ぶか、攻撃者に選ばれるかという話だと考えて、計画的に進めてください。

すぐに当てられない場合、通常なら「その機能を止める」「アクセス元を絞る」といった時間稼ぎを提案するところですが、今回はそれができません。止めるべき機能が、社外接続そのものだからです。強いて言えば、VPNの接続元を許可した拠点のIPアドレスに限定できる環境であれば、無差別な攻撃からは外れます。ただし多くの企業では、在宅勤務の接続元を事前に固定できないはずです。

最後に、攻撃を受けたかどうかの確認です。この穴は情報を盗む種類ではないので、更新後にパスワードを入れ替えるといった作業は必要ありません。ただし、心当たりのない装置の再起動が最近なかったかはログで確認しておく価値があります。CiscoはSnortの検知ルール（46897／59654）も案内しています。

よくある質問

まとめ

CVE-2026-20349は、盗まれる種類の脆弱性ではありません。起きるのは「社外との通り道が落ちる」ことだけです。それでも急ぐべき理由は、すでに攻撃が始まっていて、回避策がなく、認証も要らないので何度でも繰り返せるという3点に尽きます。米政府が公表からわずか3日という期限を切ったのも、この組み合わせを重く見たためでしょう。

やることは明快です。社外からのVPN接続を受け付けているASA／FTDがあるかを確認し、系統に対応するホットフィックスを当てる。9.16系と9.18系はASDMを先に上げる。それだけです。更新には再起動が伴いますが、自分で止める時間を選べるうちに済ませてください。攻撃者に選ばせると、選ぶのは決まってこちらの都合が悪い時間になります。

日本国内では、8月12日時点でJPCERT/CC・IPA・JVNのいずれにも掲載がありません。国内向けの一次情報が空白のまま、期限だけが迫っている状態です。新しい情報が出次第、本記事を更新します。

参照元

• ▸Cisco Security Advisory - Secure Firewall ASA and FTD Remote Access SSL VPN Denial of Service Vulnerability（2026年8月11日）
• ▸NVD - CVE-2026-20349
• ▸CISA - Known Exploited Vulnerabilities Catalog（攻撃確認リスト）
• ▸CISA - 2026年8月11日の3件追加のお知らせ
• ▸CISA - BOD 26-04（リスクに基づく更新の優先順位付け）
• ▸BleepingComputer - Cisco warns of ASA and FTD VPN flaw exploited to crash devices
• ▸Security NEXT - Cisco製ファイアウォールの「SSL VPN」にDoS脆弱性、ゼロデイ攻撃も（2026年8月12日）
• ▸BleepingComputer - 2025年9月時点の露出台数調査（別の脆弱性についての数字）
• ▸関連記事：Cisco製ファイアウォール管理ソフトの脆弱性（当サイト）
• ▸関連記事：Cisco IOS XEの脆弱性まとめ（当サイト）
• ▸関連記事：CISA KEV ダッシュボード（日本語版・当サイト）
• •NVD「CVE-2026-20349」（2026年8月12日更新、対象製品一覧を確定）
• •JVN iPedia「JVNDB-2026-028127」（2026年8月11日登録／8月13日更新）
• •Shadowserver「Vulnerable HTTP Report」（集計対象CVE一覧。本CVEは未掲載）
• •Cisco「Continued Attacks Against Cisco Firewalls」（最終更新2026年4月24日）
• •JPCERT/CC「2026年の注意喚起一覧」（本件の掲載なしを確認）

更新履歴

• •2026年8月17日：対処期限（8月14日）経過後の状況を追記しました。Ciscoの勧告は初版のまま、IoC・恒久版・CISAの追加警告・露出台数の観測はいずれも出ていません。あわせて、NVDが影響ありとするASA 9.19.1系・FTD 7.3系にCiscoのホットフィックスが用意されていない食い違いを追加しました。訂正：公開時に「JVNにも掲載がない」と記載しましたが、JVN iPediaには8月11日付でJVNDB-2026-028127として登録されていました。お詫びして訂正します（JPCERT/CC・IPAの注意喚起がゼロである点は8月17日時点でも変わりません）。
• •2026年8月12日：公開