• ひとことでCiscoのファイアウォールのSSL VPNで、細工した要求により、ログインせずに機器を再起動させられる弱点です。
  • 深刻度8.6 重要CVSS v3.1
  • まずやることSSL VPNやIKEv2のVPNやZTNAが有効か確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-20349
製品Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD)
深刻度（CVSS）8.6 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
KEVへの追加日2026-08-11
米国政府機関の対応期限2026-08-14
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-244

何が起きた

Cisco のファイアウォール（Secure Firewall ASA と FTD のソフト）のリモートアクセス SSL VPN の機能に、HTTP の要求の誤りの確かめ方が不十分な弱点が見つかり、実際に悪用が確認されています。細工した HTTP の要求を送られると、機器が突然再起動し、サービスを使えなくなる（サービス妨害）おそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がSSL VPNに細工したHTTPの要求を送る → 2. 誤りの確かめが不十分な処理が動く → 3. 機器が再起動して使えなくなる1攻撃者がSSL VPNに細工したHTTPの要求を送る2誤りの確かめが不十分な処理が動く3機器が再起動して使えなくなる攻撃の流れ: 1. 攻撃者がSSL VPNに細工したHTTPの要求を送る → 2. 誤りの確かめが不十分な処理が動く → 3. 機器が再起動して使えなくなる1攻撃者がSSL VPNに細工したHTTPの要求を送る2誤りの確かめが不十分な処理が動く3機器が再起動して使えなくなる攻撃の流れ: 1. 攻撃者がSSL VPNに細工したHTTPの要求を送る → 2. 誤りの確かめが不十分な処理が動く → 3. 機器が再起動して使えなくなる1攻撃者がSSL VPNに細工したHTTPの要求を送る2誤りの確かめが不十分な処理が動く3機器が再起動して使えなくなる

誰が影響を受ける

Cisco Secure Firewall ASA と FTD のソフトで、SSL VPN、IKEv2 のリモートアクセス VPN（client services）、または（FTD だけ）Zero Trust Network Access を有効にしている機器が影響を受けます。管理用のソフト Secure Firewall Management Center は対象外です。

何をすればいい

回避策はありません。Cisco Software Checker で使っているソフトの版を調べ、修正版へ更新してください。

やることチェックリスト

  • SSL VPNやIKEv2のVPNやZTNAが有効か確かめる
  • Cisco Software Checkerで版を調べる
  • Ciscoの修正版のソフトに更新する

用語メモ

SSL VPN 用語集で見る
ブラウザなどで使う暗号の通信を使って、外から社内のネットワークに安全につなぐ仕組みです。
サービス妨害 用語集で見る
機器やサービスを止めたり重くしたりして、使えなくする攻撃のことです。

次に読む

同じ製品・メーカーの脆弱性Cisco Secure Email Gateway（CVE-2026-76519）9.8 緊急CVSS v3.1Cisco Secure Email Gatewayで、細工したメールから任意のファイルを書き込まれる弱点です。同じ製品・メーカーの脆弱性Cisco Catalyst SD-WAN Manager（CVE-2026-76504）9.8 緊急CVSS v3.1Cisco Catalyst SD-WAN Managerで、ログインせずに管理者の権限で入られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Heap Inspection Vulnerability

概要

Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) contain a heap inspection vulnerability that could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る