CVE-2026-20349：シスコ、積極的に悪用されているASAおよびFTDのDoS脆弱性に緊急パッチを呼びかけ

攻撃を実行するためにユーザーの操作や認証は必要ありません。シスコのPSIRTは、2026年8月にこの脆弱性の悪用を認識しました。

対策：即時パッチ適用、回避策なし

シスコは影響を受けるすべてのソフトウェアトレインに対応するホットフィックスをリリースしています。設定による回避策はありません — パッチの適用が唯一の緩和策です。

• ASAソフトウェア： バージョン9.16から9.24
• FTDソフトウェア： バージョン7.0から10.0

これらのバージョンでRemote Access SSL VPN、SSL VPN、IKEv2 Remote Access VPN（クライアントサービスを使用）、またはZero Trust Network Accessが有効になっているすべてのデバイスが対象範囲と見なされます。

CISAの対応と連邦政府機関の期限

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、CVE-2026-20349を 既知の悪用された脆弱性カタログ（KEV） に追加しました。この指示に基づき、すべての米国連邦政府機関（FCEB）は、2026年8月14日 までにこの脆弱性を修正することが義務付けられています。

より広範なセキュリティ状況：シスコファイアウォールにとって厳しい時期

今回の開示は、シスコのファイアウォールアプライアンスとその攻撃対象領域にとって特に不安定な時期に行われました。

2025年9月：CISA緊急指令ED 25-03

2025年9月、CISAは、高度な脅威アクターがシスコのASAおよびFirepowerデバイスのゼロデイ脆弱性（CVE-2025-20333、CVE-2025-20362）を悪用するキャンペーンを受けて、緊急指令25-03（ED 25-03） を発令しました。このキャンペーンでは、すでに 少なくとも10の組織が侵害 され、約50,000台のデバイスが脆弱な状態にある可能性がありました。この指令は、連邦政府機関に対し、侵害されたシスコデバイスの特定と緩和を24時間以内に行うことを義務付けました。

2026年3月：LiteLLMサプライチェーン攻撃

脅威アクターグループ TeamPCP は、オープンソースのAI APIゲートウェイであるLiteLLMを侵害しました。これにより、2,500以上の組織（シスコを含む）と約 434,000のCI/CDパイプライン が漏洩した可能性があります。CloudSEKはこれを2026年最大のAIサプライチェーン侵害と評価しています。攻撃者は、約195テラバイトの認証情報データを40分以内に外部に持ち出しました。CloudSEKが確信度の高い被害者リストとして挙げた組織には、NVIDIA、Amazon Web Services、Samsung Electronics、Cisco Systems、Siemens、ServiceNowなどが含まれています。

今、これが重要な理由

シスコのASAおよびFTD製品は、高度な攻撃者から繰り返し標的にされています。この最新の悪用が確認されたDoS脆弱性は、2025年のキャンペーンとLiteLLMのサプライチェーン流出の影響にまだ対応しているセキュリティ担当者にとって、さらなるプレッシャーとなります。この脆弱性はインターネットに面したセキュリティ境界に存在し、認証を必要とせず、単一のリクエストでトリガーされるため、影響を受けるシスコファイアウォールソフトウェアを実行しているすべての組織にとって、最優先かつ即時対応が必要な状況です。