シスコ製ファイアウォールに新たなDoSのゼロデイ、シスコは10月に悪用認識：CVE-2026-76418

佐々山 Tacos

2026.10.30

[開く][閉じる]

シスコ製ファイアウォールに新たなDoSのゼロデイ、シスコは10月に悪用認識：CVE-2026-76418
Cisco SD-WANのゼロデイを悪用したハッカーがカスタムマルウェア「KeyDrift」を展開：CVE-2026-20127

シスコ製ファイアウォールに新たなDoSのゼロデイ、シスコは10月に悪用認識：CVE-2026-76418

BleepingComputer – October 29, 2026

シスコは10月28日、Cisco Secure Firewall Adaptive Security Appliance（ASA）ソフトウェアおよびCisco Secure Firewall Threat Defense（FTD）ソフトウェアにおけるDoSの脆弱性CVE-2026-76418に対するセキュリティアップデートをリリース。この脆弱性は、すでにゼロデイ攻撃で悪用されているという。

CVE-2026-76418は、認証されていないリモートの攻撃者がデバイスの予期せぬリロードを引き起こすことを可能にする恐れがある脆弱性。攻撃者はSSLリモートアクセスVPNに接続する際に細工されたリクエストを送ることでこの脆弱性を悪用し、影響を受けるデバイスにリロードを起こさせてDoS状態を引き起こすことができる可能性があるとされる。

影響を受けるのは、設定に「webvpn」というキーワードが含まれ、少なくとも1つのインターフェースでSSL VPNが有効化されたASAおよびFTDソフトウェアを使用中のデバイス。CVSS 3.1スコアは8.6、深刻度は「High」と評価されている。

シスコのPSIRTは、2026年10月にCVE-2026-76418が実際の攻撃で悪用されているのを認識したとして、顧客に修正版ソフトウェアリリースへのアップグレードを強く推奨した。ただし、IoCや被害者に関する情報、攻撃者の正体などの詳細は明かしていない。

CVE-2026-76418に対処するためのワークアラウンドは存在しないものの、すぐにパッチを適用できない場合には、デフォルトの「DefaultWEBVPNGroup」トンネルグループ、またはユーザー設定のトンネルグループリストにおいて二次認証を無効にすることで、この問題を軽減することができるとされる。

インターネット監視団体のShadowserverによれば、10月28日時点でネット上に露出しているCisco ASA SSL VPNデバイスの数は51,000を超えるとされる。ただし、このうちどれだけのデバイスがすでにパッチ済みなのかや、何台がハニーポットなのかは明かされていない。

Cisco SD-WANのゼロデイを悪用したハッカーがカスタムマルウェア「KeyDrift」を展開：CVE-2026-20127

BleepingComputer – October 29, 2026

Cisco Catalyst SD-WAN Controllerにおける認証バイパスの脆弱性CVE-2026-20127をAPTグループUAT-11473が悪用し、「KeyDrift」と呼ばれる独自のマルウェアフレームワークを展開していたという。Cisco Talosが報告した。

CVE-2026-20127は2026年2月に修正された脆弱性で、リモートの攻撃者によるCatalyst SD-WAN ControllerおよびSD-WAN Managerへの特権アクセスと、不正なピアの追加を可能にする恐れがある。当時Cisco Talosは、遅くとも2023年からUAT-8616が同脆弱性を悪用していたとみられることを明かしていた。

その後10月28日、Lumenの脅威リサーチ部門Black Lotus Labsは、中国関連のAPTグループVolt Typhoonが秘匿アクセスネットワーク「Silent Train」を使って悪用していたゼロデイの1つとして、CVE-2026-20127を挙げた。

Cisco Talosが28日に公開したブログ記事によると、UAT-11473の運用インフラはSilent Trainと大幅に重複しているという。この評価は高い確度でなされているものの、決定的な繋がりが確認されているわけではない模様。

Cisco Talosの研究者らが観測したUAT-11473の攻撃では、KeyDriftマルウェアを使って宇宙・衛星関連サービス、防衛・航空宇宙テクノロジー、政策調査組織が標的になったとされる。KeyDriftは、Cisco SD-WAN Controllerインスタンス向けに設計されたカスタムマルウェアフレームワークだという。

KeyDriftはSD-WANのコントロールプレーンプロセス内で動作。復号された制御トラフィックを傍受する性能や、制御セッションのメタデータやデータプレーンの鍵情報を抽出する性能を持つほか、収集した情報を暗号化されたレコードを使用して一時保存または送信することができるとCisco Talosは説明。同調査チームによると、KeyDriftは以下2つの主要コンポーネントで構成されているという。

PolyFlame：コマンド実行、ファイルのアップロード／ダウンロード、C2サーバーと複数ピア間の通信の中継などに対応している。改変されたサービス起動スクリプトと展開用のインジェクターを使用して、正規のvdaemonプロセス内で動作する。
LittleFilch：SSL_readをフックして、Controller内部で復号された後のコントロールプレーンメッセージを検査する、コントロールセッション傍受モジュール。

Talosはこれらのコンポーネントについて、新しいアンチデバッグ機構や多様なプロセスなりすましなど、開発が継続されている兆候を確認しているという。KeyDriftは長期的なアクセスの保持と機微な鍵材料の自動抜き取りを行えるようにするために設計されたフレームワークだろうと、Cisco Talosは高い確度で評価している。

システム管理者には、CVE-2026-20127に対処するセキュリティアップデートを適用すること、またシスコが提供するCatalyst SD-WANデプロイメント専用のハーデニングガイドを参照することが推奨されている。