Critical
日本語の情報は原文の英語の非公式な翻訳です。日本語と英語のバージョンに相違がある場合は、英語のバージョンが優先されます。
概要
Cisco Secure Firewall Management Center（FMC）ソフトウェアの Web インターフェイスの脆弱性により、認証されていないリモートの攻撃者が認証をバイパスし、該当デバイスでスクリプトファイルを実行して、基盤となるオペレーティングシステムへのルートアクセスを取得する可能性があります。
この脆弱性は、起動時に不正なシステムプロセスが作成されることに起因します。攻撃者は、巧妙に細工されたHTTP要求を該当デバイスに送信することにより、この脆弱性を不正利用する可能性があります。エクスプロイトが成功すると、デバイスへのルートアクセスを可能にするさまざまなスクリプトやコマンドを実行できるようになります。
注：FMC 管理インターフェイスにパブリック インターネット アクセスがない場合、この脆弱性に関連する攻撃対象領域が小さくなります。
この脆弱性に対処するソフトウェア アップデートは、すでにシスコからリリースされています。この脆弱性に対処する回避策はありません。
このアドバイザリは、次のリンクより確認できます。
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2
本アドバイザリは、2026 年 3 月に公開された Cisco Secure Firewall ASA、Secure FMC、および Secure FTD ソフトウェアのセキュリティ アドバイザリ バンドルに含まれています。これらのアドバイザリとリンクの一覧については、「Cisco Event Response: March 2026 Semiannual Cisco Secure Firewall ASA, Secure FMC, and Secure FTD Software Security Advisory Bundled Publication」を参照してください。
該当製品
脆弱性がある製品
この脆弱性は、デバイスの設定に関係なく、Cisco Secure FMC ソフトウェアおよび Cisco Security Cloud Control（SCC）ファイアウォール管理に影響します。
注：Cisco SCC ファイアウォール管理は SaaS 型オファーであり、シスコがメンテナンスの一環としてアップグレードします。この脆弱性の修正は、Cisco SCC Firewall Management 環境に展開済みです。ユーザ操作は不要です。
脆弱性が存在する Cisco ソフトウェアリリースについては、このアドバイザリの修正済みソフトウェアセクションを参照してください。
脆弱性を含んでいないことが確認された製品
このアドバイザリの脆弱性が存在する製品セクションにリストされている製品だけがこの脆弱性の影響を受けることが知られています。
シスコは、この脆弱性が以下のシスコ製品には影響を与えないことを確認しました。
- Firewall Device Manager（FDM）
- Cisco Secure Firewall 適応型セキュリティアプライアンス（ASA）ソフトウェア
- Cisco Secure Firewall Threat Defense（FTD）ソフトウェア
- Security Cloud Control（SCC）（旧 Defense Orchestrator）
セキュリティ侵害の痕跡
この脆弱性がエクスプロイトされたかどうかを判断するには、zgrep "package_info.*license" messages* CLI コマンドを expert モードで使用します。出力に含まれるログメッセージに、以下の例に示すように /var/tmp/license.tmp が含まれている場合、この脆弱性は Cisco Secure FMC デバイスでエクスプロイトされた可能性があります。
> expert
admin@firepower:~$ sudo su
Password:
Last login: Thu Jul 23 19:40:57 UTC 2026 on pts/2
root@firepower:/home/admin#
root@firepower:/home/admin# zgrep "package_info.*license" /var/log/messages*
Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm
エクスプロイトの疑いがある場合、Cisco Technical Assistance Center（TAC）にただちに問い合わせて、リカバリオプションに関するサポートを受けてください。このアドバイザリに記載されているホットフィックスファイルは、今後のエクスプロイトを防ぐことのみを目的としており、すでに発生している侵害には対処しない場合があります。侵害の兆候が見られる場合は、シスコ TAC のガイダンスをすべて遵守してください。
回避策
この脆弱性に対処する回避策はありません。
修正済みソフトウェア
シスコでは、回避策や緩和策（該当する場合）は、修正済みソフトウェアリリースへのアップグレードが利用可能になるまでの一時的な解決策であると考えています。これらの脆弱性を完全に修正し、本アドバイザリに記載されているような将来のリスクを回避するために、シスコでは、本アドバイザリに記載されている修正済みソフトウェアにアップグレードすることを強く推奨します。
修正リリース
次の表では、左の列にシスコソフトウェアリリースを示します。右の列は、リリースがこのアドバイザリに記載されている脆弱性の影響を受けるかどうか、およびこれらの脆弱性に対する修正を含む最初のリリースを示しています。このセクションで示すように、適切な修正済みソフトウェアリリースにアップグレードすることをお勧めします。
| Cisco Secure FTDソフトウェアリリースおよびSecure FMCソフトウェアリリース | 第 1 修正済みリリース |
|---|---|
| 7.0 以前 | 7.0.10 |
| 7.2 | 7.2.12 |
| 7.4 | 7.4.8 |
| 7.6 | 7.6.6 |
| 7.7 | 7.7.13 |
| 10.0 | 10.0.2 |
| 10.1 | 10.1.0 |
注：以前は、この脆弱性を修正するためのホットフィックスが提供されていました。このアップデートの時点で、上記の表の強化リリースが公開されており、この脆弱性に対する修正と、内部で発見されたその他の複数の脆弱性が含まれています。シスコでは、デバイスを適切な強化リリースにアップグレードすることを推奨しています。以前利用可能だったホットフィックスに関する詳細が必要な場合は、Cisco Technical Assistance Center(TAC)にお問い合わせください。
シスコの Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正済みリリース情報のみを検証します。
Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェア
お客様が Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアにおける脆弱性のリスクの有無を判断できるように、シスコは Cisco Software Checker を提供しています。このツールを使うことで、特定のソフトウェアリリースに関連するすべてのシスコ セキュリティ アドバイザリを検索でき、それぞれのアドバイザリで言及された脆弱性を修正した最初のリリース（「First Fixed」）を特定できます。 また、該当する場合には、Software Checker により判別されたすべてのアドバイザリに記載のすべての脆弱性が修正された最初のリリース（「Combined First Fixed」）を特定できます。
このツールを使用するには、「Cisco Software Checker」ページの手順に従います。または、次のフォームを使用して、特定のソフトウェアリリースに影響を及ぼす脆弱性を検索します。このフォームを使用するには、次の手順に従います。
- ツールで検索するアドバイザリを選択します。すべてのアドバイザリ、セキュリティへの影響の評価（SIR）が「重大」または「高」のアドバイザリのみ、またはこのアドバイザリのみを選択します。
- 該当するソフトウェアを選択します。
- 該当するプラットフォームを選択します。
- リリース番号を入力します。たとえば、Cisco Secure Firewall ASA ソフトウェアの場合は 9.20.3.4、Cisco Secure FTD ソフトウェアの場合は 7.4.2 と入力します。
- [チェック（Check）] をクリックします。
その他のリソース
最適な Cisco Secure Firewall ASA、Cisco Secure FMC、Cisco Secure FTD の各ソフトウェアリリースの決定方法については、次の推奨リリースに関するドキュメントを参照してください。セキュリティアドバイザリで新しいリリースが推奨される場合、アドバイザリのガイダンスに従うことをお勧めします。
Cisco Secure Firewall ASA の互換性
Cisco Secure Firewall ASA アップグレードガイド
Cisco Secure Firewall Threat Defense 互換性ガイド
不正利用事例と公式発表
2026 年 8 月、Cisco PSIRT は、この脆弱性が実際にエクスプロイトされていることを把握しました。この脆弱性が修正済みのソフトウェアリリースにアップグレードすることを強くお勧めします。
出典
この脆弱性は、シスコ内部でセキュリティテストを実施中、シスコの Brandon Sakai によって発見されました。
URL
改訂履歴
| バージョン | 説明 | セクション | Status | 日付 |
|---|---|---|---|---|
| 2.6 | ホットフィックスをセキュリティ強化リリースに置き換えました。 | 修正済みソフトウェア | Final | 2026年9月16日 |
| 2.5 | 実際のエクスプロイトが観察されたことを示すために更新。 | 不正利用事例と公式発表 | Final | 2026年9月16日 |
| 2.4 | ホットフィックスによるお客様の対応に関する情報を更新。 | 侵害の兆候および修正済みソフトウェア | Final | 2026 年 8 月 5 日 |
| 2.3 | CLI コマンドを更新。 | セキュリティ侵害の指標 | Final | 2026 年 8 月 5 日 |
| 2.2 | 侵害の疑いがある場合は TAC に連絡するよう明確に示すために更新。 | 侵害の兆候と回避策 | Final | 2026 年 7 月 31 日 |
| 2.1 | コード例を更新。 | セキュリティ侵害の指標 | Final | 2026 年 7 月 31 日 |
| 2.0 | Cisco Bug ID CSCwt95974、セキュリティ侵害の 痕跡、ホットフィックスを追加。 | 概要、回避策、セキュリティ侵害の 痕跡、および修正済みソフトウェア | Final | 2026 年 7 月 31 日 |
| 1.0 | 初版リリース | — | Final | 2026 年 3 月 4 日 |
利用規約
ソフトウェアのダウンロードおよびテクニカルサポート
Cisco.com の シスコサポート & ダウンロードページには、ライセンスとダウンロードに関する情報が記載されています。このページには、マイデバイス（My Devices）ツールを使用するお客様のカスタマーデバイスサポート範囲も表示できます。お客様がソフトウェアをダウンロードできるのは、シスコから直接、あるいはシスコ認定再販業者やシスコ認定パートナーを通じて調達されたもので、ライセンスが有効なものに限ります。
シスコから直接購入したがシスコのサービス契約をご利用いただいていない場合、また、サードパーティベンダーから購入したが修正済みソフトウェアを購入先から入手できない場合は、Cisco Technical Assistance Center（TAC）に連絡してアップグレードを入手してください。 無償アップグレードの対象製品であることを証明していただくために、製品のシリアル番号と、本アドバイザリの URL をご用意ください。
ソフトウェアのアップグレードを検討する際には、関連するシスコ製品のアドバイザリを定期的に参照して、侵害を受ける可能性とアップグレード ソリューション一式を確認してください。いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。不明な点については、Cisco Technical Assistance Center（TAC）もしくは契約しているメンテナンスプロバイダーにお問い合わせください。
利用規約の詳細
シスコは、商品適格性または特定目的への適合性に関する保証を含め、明示的か黙示的かを問わず、いかなる種類の保証も表明しません。前述の一般論に限定されることなく、シスコは、本情報の正確性または完全性を保証するものではありません。コンテンツは「現状のまま」提供されます。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本セキュリティアドバイザリに含まれる情報のコピーや要約には、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。本セキュリティアドバイザリの最新版については、シスコ セキュリティ アドバイザリ ページをご覧ください。Cisco Product Security Incident Response Team（PSIRT; プロダクト セキュリティ インシデント レスポンス チーム）は、このアドバイザリに記載されている該当するリリース情報と修正済みリリース情報のみを評価します。詳細については、シスコのセキュリティ脆弱性ポリシーを参照してください。