Critical
日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。
概要
Cisco Secure Firewall Management Center（FMC）ソフトウェアの Web ベースの管理インターフェイスの脆弱性により、認証されていないリモートの攻撃者が該当デバイスで任意の Java コードをルートとして実行する可能性があります。
この脆弱性は、ユーザーが提供した Java バイトストリームが安全に逆シリアル化されないことに起因します。攻撃者は、巧妙に細工されたシリアル化された Java オブジェクトを該当デバイスの Web ベース管理インターフェイスに送信することにより、この脆弱性をエクスプロイトする可能性があります。エクスプロイトが成功すると、攻撃者はデバイス上で任意のコードを実行し、権限をルートに昇格させることができます。
注：FMC 管理インターフェイスにパブリック インターネット アクセスがない場合、この脆弱性に関連する攻撃対象領域が小さくなります。
シスコはこの脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-rce-NKhnULJh
本アドバイザリは、2026 年 3 月に公開された Cisco Secure Firewall ASA、Secure FMC、および Secure FTD ソフトウェアのセキュリティ アドバイザリ バンドルに含まれています。これらのアドバイザリとリンクの一覧については、「Cisco Event Response: March 2026 Semiannual Cisco Secure Firewall ASA, Secure FMC, and Secure FTD Software Security Advisory Bundled Publication」を参照してください。
該当製品
脆弱性のある製品
この脆弱性は、デバイスの設定に関係なく、Cisco Secure FMC ソフトウェアおよび Cisco Security Cloud Control（SCC）ファイアウォール管理に影響します。
注：Cisco SCC ファイアウォール管理は SaaS 型オファーであり、シスコがメンテナンスの一環としてアップグレードします。この脆弱性に対する修正は、Cisco SCC Firewall Management環境に導入されています。ユーザの対処は必要ありません。
脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの「修正済みソフトウェア」セクションを参照してください。
脆弱性を含んでいないことが確認された製品
このアドバイザリの脆弱性のある製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。
シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。
- Cisco Secure Firewall 適応型セキュリティアプライアンス（ASA）ソフトウェア
- Cisco Secure Firewall Threat Defense（FTD）ソフトウェア
回避策
この脆弱性に対処する回避策はありません。
修正済みソフトウェア
シスコでは、回避策や緩和策（該当する場合）は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。この脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。
Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェア
お客様が Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアにおける脆弱性のリスクの有無を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用するには、「Cisco Software Checker」ページの手順に従います。または、次のフォームを使用して、特定のソフトウェアリリースに影響を及ぼす脆弱性を検索します。このフォームを使用するには、次の手順に従います。
- ツールで検索するアドバイザリを選択します。すべてのアドバイザリ、セキュリティへの影響の評価（SIR）が「重大」または「高」のアドバイザリのみ、またはこのアドバイザリのみを選択します。
- 該当するソフトウェアを選択します。
- 該当するプラットフォームを選択します。
- リリース番号を入力します。たとえば、Cisco Secure Firewall ASA ソフトウェアの場合は 9.20.3.4、Cisco Secure FTD ソフトウェアの場合は 7.4.2 と入力します。
- [チェック（Check）] をクリックします。
関連情報
最適な Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアリリースの決定方法については、次の推奨リリースに関するドキュメントを参照してください。セキュリティ アドバイザリでより新しいリリースが推奨されている場合は、そのアドバイザリのガイダンスに従うことをお勧めします。
Cisco Secure Firewall ASA の互換性
Cisco Secure Firewall ASA アップグレードガイド
Cisco Secure Firewall Threat Defense 互換性ガイド
不正利用事例と公式発表
2026年3月、Cisco Product Security Incident Response Team(PSIRT)は、この脆弱性の不正利用が試みられていることを認識しました。これらの脆弱性が修正済みのソフトウェアリリースにアップグレードすることを、引き続き強くお勧めします。
出典
この脆弱性は、Cisco Advanced Security Initiatives Group（ASIG）の Keane O'Kelley による内部セキュリティテスト中に発見されました。
URL
改訂履歴
| バージョン | 説明 | セクション | ステータス | 日付 |
|---|---|---|---|---|
| 1.2 | 「脆弱性が存在する製品」セクションのメモを更新。Cisco SCC Firewall Managementのホットフィックスを利用できることを反映。 | 脆弱性が存在する製品 | Final | 2026年3月25日 |
| 1.1 | 不正利用の認識に関する情報を更新。 | 不正利用事例と公式発表 | Final | 2026年3月18日 |
| 1.0 | 初回公開リリース | — | Final | 2026 年 3 月 4 日 |
利用規約
本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。