VPN 脆弱性が相次ぐ｜Cisco ASAのゼロデイ悪用と今週の確認点

何が起きたのか？

2026年10月27日から29日にかけて、VPN・ファイアウォール・ルーターといった社内ネットワークの入口に置く機器（境界機器）の脆弱性が、4社から相次いで公表されました^[1][4][6][8]。このうちCisco ASA/FTDの脆弱性は、米CISAが悪用を確認した脆弱性の一覧に追加しています^[2]。

1. 10月27日

   WatchGuardがFireware OSの脆弱性を公表

   ファイアウォール製品Fireboxで使うFireware OSに17件の脆弱性。うち7件がクリティカル^[7]。

2. 10月28日

   Sophos UTM、ヤマハNWR100、Cisco ASA/FTD

   Sophosがサポート終了済みのSophos UTMに修正パッチを公開^[4]。JVNとヤマハがNWR100の脆弱性を公表^[8][9]。Ciscoが悪用を確認したASA/FTDの脆弱性を公表（米国時間）^[1]。

3. 10月28日

   Cisco Talosが SD-WAN の侵害を分析

   高度な攻撃グループがCisco Catalyst SD-WANの脆弱性を悪用し、暗号鍵を盗むマルウェアを仕掛けていたと公表^[10]。

4. 10月29日

   CISAがKEVに追加

   Cisco ASA/FTDの脆弱性（CVE-2026-76418）を追加し、米連邦機関に11月1日までの対応を求めた^[2]。

KEV（米CISAが公開する、実際に悪用が確認された脆弱性の一覧）に載ったということは、攻撃者がすでにこの脆弱性を使っているということです^[2]。米連邦機関には11月1日までの対応が求められています^[2]。

Cisco ASA/FTDのゼロデイとは？自社は対象か？

Cisco ASA/FTDの脆弱性（CVE-2026-76418）は、SSL VPNの接続時に細工した通信を送るだけで、認証なしで機器を再起動させられるものです^[1]。対象は、SSL VPNが有効で、トンネルグループ（VPNの接続設定の単位）に二次認証を設定している機器に限られます^[1]。

Ciscoの説明では、原因は二次認証を設定したときの処理の論理的な誤りです。VPNへのログインに成功していなくても、問題の処理に到達できます^[1]。深刻度はCVSS（脆弱性の深刻度を0〜10で表す共通の指標）3.1で8.6です^[1]。機器が乗っ取られる種類の脆弱性ではありませんが、VPNが落ちれば在宅勤務や拠点間の通信が止まります。

Ciscoは、この脆弱性を解消する回避策はないとしています^[1]。更新までのつなぎとしては、既定の DefaultWEBVPNGroup が二次認証を使っていなければトンネルグループの一覧表示を無効にし、使っていれば二次認証を外す、という緩和策を示しています。ただし二次認証を外すとVPNの安全性は下がるとCisco自身が注意しています^[1]。更新を急ぎ、緩和策を使う場合は保守ベンダーと影響を確認してください。

Cisco ASA/FTDのSSL VPN機能では、8月にも別のDoS脆弱性（CVE-2026-20349）が公表され、Ciscoは同じく悪用を確認していました^[3]。同じ製品の同じ機能が、3か月の間に2度狙われたことになります^[2][3]。今回は別の脆弱性のため、8月の更新を当てていても、今回の修正版への更新が別に必要です^[1]。

Sophos UTM・WatchGuard・ヤマハの脆弱性は何が問題か？

3社の脆弱性は、いずれも認証なしで機器上のコマンドやコードを実行されるおそれがある深刻なものです^[4][6][8]。悪用については、WatchGuardが公表時点で把握していないと明記しており^[6]、Sophosとヤマハは2026年10月30日時点で悪用の有無に触れていません^[4][9]。特にSophos UTMは、すでにサポートが終了した製品である点に注意が必要です^[4]。

Sophos UTMは、外部の研究者が報告した脆弱性で、攻撃を数分間繰り返して処理の競合を起こすと、認証なしでroot権限のコマンドを実行できるとされます^[4]。製品のサポートが終わっているため自動では配信されず、利用者が手動でパッチを入れる必要があります^[4]。

WatchGuardの17件は条件がそれぞれ異なります^[7]。たとえば最も深刻度の高い脆弱性は、FireCloud Gatewayとして構成し、WatchGuard Cloudとの通信を攻撃者が復号・改ざんできることが条件です^[7]。自社の構成に当てはまるかを確かめる手間を考えると、修正版への更新を先に進める方が確実です。

ヤマハのNWR100は無線LANルーターです^[8]。ヤマハは、ポートを開放するなどしてWeb GUIを外部からアクセスできる状態にしている場合は、インターネットから攻撃を受ける可能性があると説明しています。無線LANで接続した端末がWeb GUIにアクセスできる場合も、その端末から攻撃を受ける可能性があるとしています^[9]。小規模な拠点や店舗で使われている場合は、設置した業者に確認するのが早道です。

なぜVPN・ファイアウォールが狙われるのか？

VPN・ファイアウォールはインターネットに直接つながり、突破すれば社内ネットワークに入れるため、攻撃者にとって効率のよい入口だからです。警察庁の統計でも、ランサムウェアの侵入経路はVPN機器が約5割を占めています^[11]。

警察庁は、近年のランサムウェア攻撃では、インターネットに露出した箇所から遠隔操作でネットワークに侵入する手口が多くを占め、メールの添付ファイルによる感染は少なくなっていると分析しています^[11]。攻撃者は未修正の脆弱性や漏えいした認証情報を使って侵入し、管理者権限を奪ってデータを盗んだうえで暗号化します^[11]。

2026年上半期のランサムウェア被害は123件で、統計を取り始めた2020年下半期以降、半期として最多でした^[11]。警察庁のセンサーが検知した、脆弱性を探す不審なアクセスも前年同期比で51%増えています^[11]。編集部の見方では、インターネットに常に面している境界機器では、更新の遅れがそのまま侵入の機会になると考えられます。

狙うのは金銭目的の攻撃者だけではありません。Cisco Talosは10月28日、高度な攻撃グループ（UAT-11473）がCisco Catalyst SD-WANの認証回避の脆弱性（CVE-2026-20127）を悪用し、拠点間通信の暗号鍵を盗み続けるマルウェア「KeyDrift」を仕掛けていたと公表しました^[10]。この脆弱性は2026年2月にKEVに追加されています^[2]。Talosの分析は過去の活動を対象としたもので、侵害がいつ起きたかは示していません^[10]。

自社への影響をどう判断するか？

判断の起点は「どのメーカーの、どの型番の機器が、どのバージョンで、どの機能を有効にして動いているか」を把握しているかどうかです。これが分かれば、今回の脆弱性の多くは条件表と照らすだけで対象かどうかを判定できます^[1][6][9]。

最も危ないのは最後の行です。VPNやUTM（複数のセキュリティ機能をまとめた機器）を導入時に業者へ任せたまま、社内に型番もバージョンも残っていない企業は珍しくありません。保守契約が切れていて、誰も更新していない機器が見つかることもあります。

今すぐやることは何か？

今週中に、社内のVPN・ファイアウォール・ルーターを一覧にし、今回の4社の製品があれば修正版へ更新してください。あわせて、管理画面がインターネットから見える状態になっていないかを確認します^[1][4][6][9]。

冗長構成でない場合、更新の際に機器が再起動するため、VPNが一時的に使えなくなります。利用者の少ない時間帯を選び、社内に事前に周知してください。更新後は、VPN接続と拠点間の通信が正常に戻ったことを確認します。

中長期で何を見直すべきか？

中長期では、境界機器を「入れたら終わり」ではなく、保守期限と更新の責任者を持つ管理対象として扱うことが必要です。警察庁も、ランサムウェア等の被害を防ぐために、VPN機器等の脆弱性対策や認証情報の適切な管理、バックアップやログの取得などを周知しています^[11]。

• 機器台帳を作る：メーカー・型番・バージョン・設置場所・保守期限・担当者を1枚にまとめ、機器を入れ替えたら必ず更新する
• サポート終了を前倒しで把握する：Sophos UTMのように、サポート終了後は修正が自動で届かなくなります^[4]。終了の1年前には入れ替えを予算化する
• 脆弱性情報の受け取り口を決める：JVN・JPCERT/CC・各メーカーの告知を、誰が見て、何日以内に判断するかを決める^[8]
• VPNの認証を強くする：IDとパスワードだけに頼らず、多要素認証を使う。漏えいした認証情報も侵入に悪用されるためです^[11]
• 管理画面を外に出さない：管理画面への接続は社内や特定の端末に限る。ヤマハもWeb GUIの接続元制限を緩和策に挙げています^[9]
• 止まったときの手順を決める：VPNが停止した場合の連絡先、代替手段、保守ベンダーの窓口を事前に決めておく

公表の前から悪用の試行が観測され、更新の速さが問われた例として、10月にはPHPの脆弱性「PHP2Shell」もありました。更新の判断と手順の考え方は、PHP2Shellの解説記事でも整理しています。

AI利用の観点で見直す点はあるか？

あります。生成AIやAIエージェントを業務で使うほど、社外のサービスと社内のシステムをつなぐ通信が増え、VPNやファイアウォールの設定を変える機会も増えます。境界機器の管理は、AIを安全に使うための前提条件でもあります。

たとえば、社内のファイルサーバーや業務システムにAIツールから接続するために、ファイアウォールのポートを開けたり、VPNの例外設定を追加したりする場面があります。こうした変更を誰が承認し、いつ元に戻すのかを決めておかないと、使われなくなった穴が残ります。AI利用に伴うリスクの全体像はAIセキュリティとはで整理しています。

まとめ

2026年10月27日から29日にかけて、Cisco・Sophos・WatchGuard・ヤマハの境界機器に深刻な脆弱性が相次いで公表され、Cisco ASA/FTDの脆弱性は悪用が確認されています^[1][2]。VPN機器は国内のランサムウェア被害で最も多い侵入口です^[11]。

今週やることは、社内のVPN・ファイアウォール・ルーターの型番とバージョンを一覧にし、該当する機器を修正版へ更新することです。型番が分からなければ、まず設置業者と保守ベンダーに確認してください。そのうえで、保守期限と更新の担当者を決め、次の脆弱性に備える仕組みにしていくことが必要です。よくある質問はFAQもあわせてご覧ください。