最近の脆弱性 › CVE-2026-20349
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) の脆弱性（CVE-2026-20349）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-20349 |
|---|---|
| 製品 | Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) |
| 深刻度（CVSS） | 8.6 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H |
| KEVへの追加日 | 2026-08-11 |
| 米国政府機関の対応期限 | 2026-08-14 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-244 |
何が起きた
Cisco のファイアウォール（Secure Firewall ASA と FTD のソフト）のリモートアクセス SSL VPN の機能に、HTTP の要求の誤りの確かめ方が不十分な弱点が見つかり、実際に悪用が確認されています。細工した HTTP の要求を送られると、機器が突然再起動し、サービスを使えなくなる（サービス妨害）おそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Cisco Secure Firewall ASA と FTD のソフトで、SSL VPN、IKEv2 のリモートアクセス VPN（client services）、または（FTD だけ）Zero Trust Network Access を有効にしている機器が影響を受けます。管理用のソフト Secure Firewall Management Center は対象外です。
何をすればいい
回避策はありません。Cisco Software Checker で使っているソフトの版を調べ、修正版へ更新してください。
やることチェックリスト
- SSL VPNやIKEv2のVPNやZTNAが有効か確かめる
- Cisco Software Checkerで版を調べる
- Ciscoの修正版のソフトに更新する
用語メモ
- SSL VPN
- ブラウザなどで使う暗号の通信を使って、外から社内のネットワークに安全につなぐ仕組みです。
- サービス妨害
- 機器やサービスを止めたり重くしたりして、使えなくする攻撃のことです。
元データ（英語・CISA KEV より）
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Heap Inspection Vulnerability
概要
Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) contain a heap inspection vulnerability that could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.