Ciscoの社外接続装置が外から落とされる CVE-2026-20349、期限8月14日

社外から社内ネットワークへ安全につなぐための装置として広く使われているCiscoのファイアウォールに、ログインもパスワードも要らず、外から装置を再起動させて通信を止められる欠陥が見つかりました。識別番号はCVE-2026-20349、危険度は10点満点の8.6です。

やっかいな点が3つ重なっています。すでに実際の攻撃で使われていること。回避策が一つもないこと。そして米政府が対処期限を8月14日に設定したことです。公表が8月11日ですから、猶予は実質3日という異例の短さです。

先に安心材料も書いておきます。この欠陥でデータが盗まれることはありません。改ざんもされません。起きるのは「装置が再起動して、通信が切れる」ことだけです。ただし切れるのがテレワークの接続や拠点間をつなぐ回線そのものなので、業務が止まる形の被害になります。自社でCiscoのファイアウォールを運用していて、社外接続用のVPNを有効にしているなら、対象かどうかを今日中に確認してください。

そもそもこの装置は何をしているのか

対象になっているのは、Ciscoの「Secure Firewall ASA」と「Secure Firewall Threat Defense（FTD）」という2つの製品です。名前は違いますが、どちらも会社の入口に置かれるファイアウォール——社内と社外の境目に立って、通していい通信とそうでない通信を仕分ける装置です。

今回問題になっているのは、その中の「社外から社内につなぐ窓口」の機能です。自宅や出張先から会社のシステムにアクセスするとき、多くの企業ではこの装置が本人確認をして、暗号化された通り道を作ってくれています。いわゆるVPNです。この窓口の受付処理に不備がありました。

大事なのは、この窓口はインターネットに向けて開いていないと機能しないという点です。社外からつなぐための入口ですから、当然そうなります。つまり攻撃者から見て、最初から見えている場所にあります。社内の奥にあるサーバーとは、危険の質が違います。

なお、これらの装置をまとめて管理する「Secure Firewall Management Center（FMC）」は今回の影響を受けません。同じCisco製品でも別物です。FMCについては別の脆弱性を解説した記事があります。

CVE-2026-20349で何が起きるのか

仕組みそのものは単純です。Ciscoの公式勧告は原因を「HTTPリクエストを処理する際のエラー確認が不十分だった」と説明しています。細工した通信を1つ送ると、装置がそれをうまく処理しきれず、そのまま再起動してしまう。それだけです。

危険度が8.6という高めの数字になっているのは、影響が装置の中で完結しないからです。この評価には「範囲の変更」という項目があり、壊れるのは装置1台でも、その装置を通っていた通信すべてが巻き添えになる点が数字に織り込まれています。情報の流出も改ざんも「なし」と評価されているのに8.6まで上がるのは、そのためです。

誰が狙い、何が起きるのか

正直に書きます。誰が攻撃しているのかは公表されていません。Ciscoは「2026年8月、実際に悪用されていることを把握した」と書いているだけで、攻撃者の名前も、侵入の痕跡を探す手がかりも、狙われた業種も一切出していません。ここは分からないまま書くしかありません。

それでも、この穴で攻撃者ができるのは「会社の外との通り道を落とすこと」だけです。データを持ち出せるわけでも、装置を乗っ取れるわけでもありません。だからこそ「なぜ狙うのか」という疑問が残ります。考えられるのは、業務妨害そのものを目的とする場合と、別の攻撃に付随して使う場合です。

失うものは、立場によってはっきり分かれます。会社で働く人にとっては、ある朝いきなり社内システムにつながらないという形で現れます。自宅から勤怠も経費精算もできず、拠点間でファイルもやり取りできない。運用する情報システム部門にとっては、認証も不要で外から何度でも送れる以上、更新を当てるまで同じことを繰り返される状態に置かれます。VPN機器が止まったときに会社の業務がどこまで巻き込まれるかは、VPN装置を起点に決算業務まで止まった事例で具体的に見ています。

なお、Ciscoのファイアウォールは2025年にも国家が関与したとみられる大規模な攻撃の標的になっており、その際は調査を妨害する目的で装置をわざとクラッシュさせる手口が使われていました。今回の穴はまさに「クラッシュさせられる」ものですが、両者を結びつける公表情報は現時点でありません。連想はできても、事実として書ける段階にはないので、ここでは指摘に留めます。

自分の装置が対象かどうかの見分け方

ASAまたはFTDを使っていても、全台が対象というわけではありません。判定の分かれ目は「社外からつなぐための窓口を開いているか」です。Ciscoは、次の設定のいずれかが有効な装置が対象だとしています。

言い換えると、社外からのVPN接続を受け付けている装置が対象です。社内のセグメント間の仕切りとしてだけ使っていて、外からの接続窓口を開いていない装置は、この穴の対象外になります。まずは設定を確認してください。

更新先のバージョン、ただし「ホットフィックス」です

ここは少し注意が要ります。Ciscoが用意したのは通常のバージョンアップではなく、この穴だけを塞ぐ緊急の修正プログラム（ホットフィックス）です。系統ごとに番号が違うので、自分の使っている系統の行を見てください。

落とし穴が1つあります。ASAで「89」から始まるホットフィックス（9.16系と9.18系）を入れる場合、管理ツールのASDMを7.24.1.374以降にしておく必要があります。古いASDMはこの番号の付け方を認識できず、正しく扱えません。先にASDMを上げてからホットフィックスを当ててください。

FTDについては、同じ系統でも装置の機種（FP1K／FP2K／FP3K／各シリーズ）ごとにファイルが分かれています。公式勧告のダウンロード欄で、自分の機種に対応するものを選んでください。

なお、ASAの9.12／9.14／9.17／9.19系と、FTDの7.1／7.3／7.5系は、公式勧告の表に記載がありません。サポートが終わっている系統である可能性が高いのですが、Cisco側にその旨の明示的な記述もありません。該当する系統を使っている場合は、Ciscoのサポート窓口に直接確認するのが確実です。

確認できていること、まだ分からないこと

露出台数について補足します。この脆弱性に該当する装置が世界に何台あるかは、まだ誰も数えていません。参考として、2025年9月に別の脆弱性で調査されたときは、世界で48,800台以上、うち日本が約2,300台でした。今回の数字ではありませんが、Cisco製ファイアウォールが日本にどれだけ置かれているかの目安にはなります。

気になる点：Ciscoが付けた分類が、中身と合っていません

細かい話ですが、記録として書いておきます。この脆弱性にはCWE-244という分類が付けられています。これは「メモリを解放する前に中身を消していないため、あとから他人に読まれてしまう」という情報漏えい系の弱点を指す番号です。

ところが、この脆弱性の評価は情報の流出「なし」・改ざん「なし」・可用性のみ影響です。原因の説明も「HTTPリクエストの処理でエラー確認が不十分」であって、メモリの消し忘れではありません。分類と中身が噛み合っていません。

米政府のリストにこの脆弱性が「ヒープ検査の脆弱性」という名前で載っているのは、この分類番号から機械的に名付けられたためです。CISAの誤りではなく、元をたどればCisco側の分類付けに起因します。対処の内容は変わりませんが、「名前を見て情報漏えいだと思ってしまう」誤解は避けたいので、ここで整理しておきます。

今すぐやるべきこと

順番はこうです。まず自社のASA／FTDが対象の設定になっているかを確認する。前述の3つの設定のいずれかが有効なら対象です。社外からのVPN接続を受け付けている装置は、まず該当すると考えてください。

次にホットフィックスを当てる。これが唯一の対策です。回避策はありません。9.16系と9.18系の場合は、先にASDMを7.24.1.374以降へ上げてから作業してください。ファイアウォールの更新は再起動を伴うため、通信断が発生します。止まるタイミングを自分で選ぶか、攻撃者に選ばれるかという話だと考えて、計画的に進めてください。

すぐに当てられない場合、通常なら「その機能を止める」「アクセス元を絞る」といった時間稼ぎを提案するところですが、今回はそれができません。止めるべき機能が、社外接続そのものだからです。強いて言えば、VPNの接続元を許可した拠点のIPアドレスに限定できる環境であれば、無差別な攻撃からは外れます。ただし多くの企業では、在宅勤務の接続元を事前に固定できないはずです。

最後に、攻撃を受けたかどうかの確認です。この穴は情報を盗む種類ではないので、更新後にパスワードを入れ替えるといった作業は必要ありません。ただし、心当たりのない装置の再起動が最近なかったかはログで確認しておく価値があります。CiscoはSnortの検知ルール（46897／59654）も案内しています。

よくある質問

まとめ

CVE-2026-20349は、盗まれる種類の脆弱性ではありません。起きるのは「社外との通り道が落ちる」ことだけです。それでも急ぐべき理由は、すでに攻撃が始まっていて、回避策がなく、認証も要らないので何度でも繰り返せるという3点に尽きます。米政府が公表からわずか3日という期限を切ったのも、この組み合わせを重く見たためでしょう。

やることは明快です。社外からのVPN接続を受け付けているASA／FTDがあるかを確認し、系統に対応するホットフィックスを当てる。9.16系と9.18系はASDMを先に上げる。それだけです。更新には再起動が伴いますが、自分で止める時間を選べるうちに済ませてください。攻撃者に選ばせると、選ぶのは決まってこちらの都合が悪い時間になります。

日本国内では、8月12日時点でJPCERT/CC・IPA・JVNのいずれにも掲載がありません。国内向けの一次情報が空白のまま、期限だけが迫っている状態です。新しい情報が出次第、本記事を更新します。

参照元

• ▸Cisco Security Advisory - Secure Firewall ASA and FTD Remote Access SSL VPN Denial of Service Vulnerability（2026年8月11日）
• ▸NVD - CVE-2026-20349
• ▸CISA - Known Exploited Vulnerabilities Catalog（攻撃確認リスト）
• ▸CISA - 2026年8月11日の3件追加のお知らせ
• ▸CISA - BOD 26-04（リスクに基づく更新の優先順位付け）
• ▸BleepingComputer - Cisco warns of ASA and FTD VPN flaw exploited to crash devices
• ▸Security NEXT - Cisco製ファイアウォールの「SSL VPN」にDoS脆弱性、ゼロデイ攻撃も（2026年8月12日）
• ▸BleepingComputer - 2025年9月時点の露出台数調査（別の脆弱性についての数字）
• ▸関連記事：Cisco製ファイアウォール管理ソフトの脆弱性（当サイト）
• ▸関連記事：Cisco IOS XEの脆弱性まとめ（当サイト）
• ▸関連記事：CISA KEV ダッシュボード（日本語版・当サイト）