要点
影響を受けるもの
- Cisco Secure Firewall ASA ソフトウェアと Secure Firewall Threat Defense（FTD）ソフトウェアのうち、SSLのリモートアクセスVPNが有効で、トンネルグループ（既定の
DefaultWEBVPNGroupを含む）に二次認証（secondary-authentication-server-group）を設定しているもの（Cisco）。 - 修正版は ASA 9.16.4.104／9.18.4.96／9.20.4.50／9.22.3.200／9.23.1.48／9.24.1.27・9.24.10.1、FTD 7.0.11／7.2.13／7.4.9／7.6.7／7.7.14／10.0.3／10.1.1。
今すぐやること
- 二次認証を使ったSSL VPNを公開しているASA・FTDは、修正版に更新する。
- すぐ更新できない場合は、Ciscoが示す緩和策（二次認証を外す、またはトンネルグループの一覧表示を無効にする）を検討する。
何が起きているか
事実（Cisco、CISA）
- Ciscoは2026年10月28日 19:15（GMT、日本時間29日 4:15）、勧告 cisco-sa-asaftd-tunnel-dos-s6mgkb75 を公開した。深刻度はHigh、CVSS 3.1は8.6（
AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H）。 - 原因は、トンネルグループに二次認証が設定されているときの処理の論理的な誤り。攻撃者はSSLリモートアクセスVPNへの接続時に細工した要求を送るだけで装置を再起動させられる。VPNへのログインに成功する必要はない（Cisco）。
- 影響は可用性のみで、情報の読み取りや改ざんは評価に含まれていない（CVSSのC:N/I:N）。
- Cisco PSIRTは2026年10月に悪用を把握したとしている。攻撃者や標的、侵害の痕跡（IoC）は公表していない（Cisco、BleepingComputer）。
- 欠陥はTAC（Ciscoのサポート窓口）の問い合わせ対応の中で見つかった（Cisco）。
- CISAは10月29日にKEVに追加し、連邦機関の対応期限を11月1日とした。
影響を受ける製品・バージョン
次の3つがそろうと影響を受ける（Cisco）。
- 下の表の修正版より前のASAまたはFTDを使っている。
webvpnの設定があり、少なくとも1つのインターフェースでSSL VPNが有効（webvpn enable <interface_name>）。FTDでは FMC の Devices > VPN > Remote Access、または FDM の Remote Access VPN で設定する機能。- 二次認証が次の範囲に設定されている。
tunnel-group-list enableがある場合：既定のDefaultWEBVPNGroupを含むすべてのトンネルグループ（ログイン画面の一覧に出ていないものも含む）。tunnel-group-list enableがない場合：DefaultWEBVPNGroup。
| ASA | 最初の修正版 |
|---|---|
| 9.16以前 | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27、9.24.10.1 |
| FTD | 最初の修正版 |
|---|---|
| 7.0以前 | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
- Cisco Secure FMC ソフトウェア、Cloud-delivered Firewall、cdFMC、Secure Access は影響を受けない（Cisco）。
修正版・回避策
- 修正：上の表の版。Ciscoの「Software Checker」で、自分の版に関係する他の勧告もまとめて確認できる。
- 回避策（workaround）はない。緩和策として次の2つが示されている（Cisco）。
DefaultWEBVPNGroupが二次認証を使っていない場合：WebVPNの設定モードでno tunnel-group-list enableを実行し、トンネルグループの一覧表示を無効にする。利用者は接続プロファイルを一覧から選べなくなり、名前を知っている必要がある。DefaultWEBVPNGroupが二次認証を使っている場合：no secondary-authentication-server-groupで二次認証を外す。VPNの安全性は下がる。
- Ciscoは緩和策を一時的なものとし、自分の環境で影響を確かめてから使うよう求めている。
今すぐやること
show running-config webvpnと各tunnel-groupの設定で、SSL VPNの有効化と二次認証の有無を確認する。FTDはFMC／FDMの展開済みポリシーで確認する。- 該当すれば修正版に更新する。週末をまたぐ場合は、上の緩和策のどちらが使えるかを判断しておく。
- 10月以降に装置の予期しない再起動がなかったか、ログやクラッシュ情報を確認する。再起動が続いていた場合は、Cisco TACに相談する。
考察
- DoSでもVPN装置では業務停止に直結する: 情報漏えいにはつながらない欠陥だが、リモートアクセスVPNの装置が再起動を繰り返せば、在宅勤務や拠点間の接続が止まる。ログイン不要で狙えるため、二次認証（多要素認証）を設定している、つまり対策を進めた組織ほど影響を受ける構図になっている。
- 攻撃の目的は公表されていない: Ciscoは攻撃者も規模も明かしていない。単純な妨害のほか、再起動で監視やセッションを途切れさせる目的も考えられるが、確認できる情報はない。再起動の記録がある場合は、他の不審な動きがなかったかもあわせて確認しておくのが無難だと考える。
- 緩和策は安全性との引き換え: 二次認証を外す緩和策は、DoSを避ける代わりに認証を弱める。外部に公開しているVPNでは、緩和策より修正版への更新を優先したい。