CVE-2026-20316 Cisco Secure FMCの静的認証情報がCVSS5.3でもSIR Highと評価された理由

ファイアウォールを集中管理する装置は、配下の機器の設定とポリシー、そして通信ログを一手に握ります。Ciscoが2026年7月29日に公開したSecure Firewall Management Center (FMC) SoftwareのCVE-2026-20316は、その管理装置のWebインタフェースに低権限アカウント用の静的な認証情報が埋め込まれていた脆弱性です。Cisco PSIRTは2026年7月に実際の悪用を認知しており、同じ7月29日にCISAのKEVカタログにも収載されました。対象読者は、Cisco Secure Firewallを運用するネットワーク担当や情報システム担当の方です。記述はCisco公式アドバイザリ、NVDとcve.orgのCVEレコード、CISAのKEVカタログとアラート、MITRE CWEの定義にもとづき、事実は執筆時点(2026年8月1日)で確認できた範囲に限ります。攻撃の再現手順や実際の資格情報は書きません。挙動の確認は自組織が管理する機器に対してのみ行ってください。

CVE-2026-20316の基本情報#

CVE-2026-20316は、Ciscoのファイアウォール集中管理製品であるSecure Firewall Management Center (FMC) Softwareに見つかった脆弱性です。旧称はFirepower Management Centerで、Secure Firewall Threat Defense (FTD) を動かす機器のポリシー配布や設定管理、イベント収集をまとめて担う管理サーバに当たります。

公式アドバイザリのIDはcisco-sa-fmc-static-cred-BET3Cjh、初版公開は2026年7月29日16:00 GMT、執筆時点の最終更新は2026年7月31日19:49 GMTでバージョン1.2(Final)です。Cisco Bug IDはCSCwt95997、CWE分類はCWE-259(Use of Hard-coded Password)が割り当てられています。

深刻度はCVSS 3.1の基本値で5.3、ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nです。ネットワーク経由で到達でき、攻撃の複雑さは低く、事前の権限も利用者の操作も要らない一方、影響は機密性への低い影響のみという評価になっています。NVDは執筆時点でCisco (CNA) が付与したこのスコアを掲載しており、独自の再評価は行われていません。この数値とCiscoの重大度評価が食い違う理由は後述します。

Cisco公式アドバイザリは、Webインタフェースの脆弱性により未認証のリモート攻撃者が低権限アカウントで機器にログインし、システム内の機密データへアクセスできる可能性があると記載しています。原因は低権限アカウント用の静的なユーザ資格情報が存在することとされています。

管理装置そのものが攻撃対象になる構図は、ファイアウォールやVPN装置といった境界機器で繰り返し起きています。境界機器の脆弱性が狙われやすい理由と備え方は次の記事にまとめています。

静的な認証情報が広い範囲の弱点になりやすい仕組み#

静的な認証情報とは、製品のコードや設定ファイル、イメージの中にあらかじめ書き込まれていて、利用者が変更する手段を持たない資格情報を指します。MITRE CWEはこれをCWE-798(Use of Hard-coded Credentials)として定義し、そのうちパスワードに限定した子分類がCWE-259(Use of Hard-coded Password)です。CWEはさらに、製品自身の認証処理が固定値と照合する型(inbound)と、製品が別のシステムへ接続するときに固定値を使う型(outbound)に分けています。今回のケースはWebインタフェース側の認証を通過できる資格情報が製品内にあったという説明で、前者の型に当たります。

この欠陥が広がりやすい理由は、影響が1台にとどまりにくい点にあります。同一の認証情報を共有する範囲では、ある1台から値が取り出されたり解析や公開によって値が知られたりした時点で、複数の環境が同時に影響を受けうる状態になります。MITRE CWEも一般論として、ハードコードされた認証情報は各インストールで同じ値になりやすく、そのため大規模な攻撃が成立し得ると説明しています。なお管理者がGUIから管理者パスワードを強化しても、製品内に埋め込まれた固定値そのものは変わりません。

もう1つの性質として、悪用が正規の認証経路をそのまま通る点があります。攻撃者は例外を起こしたりペイロードを送り込んだりせず、実在するアカウントとして普通にログインします。認証ログ上は成功したログインとして記録されるため、失敗回数の急増や異常なリクエストを見張る検知だけでは気づきにくくなります。

ここで引いているのはCVE-2026-20316について確認された事実ではなく、MITRE CWE-259の一般的な説明です。CWE-259は、ハードコードされたパスワードを製品が持つことで、その製品にアクセスできる者が誰でも同じ資格情報を利用できる状態になる欠陥として定義しています。同一の資格情報が全インストールで共有される場合には大規模な攻撃が成立し得るとされています。本CVEについてCisco公式アドバイザリが記載しているのは、低権限アカウント用の静的なユーザ資格情報が存在することまでで、その値が全設置環境で同一であるとまでは書かれていません。

影響を受ける製品とホットフィックス#

Cisco公式アドバイザリは、この脆弱性が「機器の構成にかかわらずCisco Secure FMC Softwareに影響する」と記載しています。影響を受けないことが確認された製品として挙がっているのは、クラウド提供版のCloud-Delivered FMC (cdFMC)、Firewall Device Manager (FDM)、Secure Firewall Adaptive Security Appliance (ASA) Software、Secure Firewall Threat Defense (FTD) Software、Security Cloud Control (SCC、旧Defense Orchestrator) です。管理サーバ側の問題であり、配下のFTDやASA本体のソフトウェアは対象外という整理になります。

修正はリリース系列ごとのホットフィックスとして提供されています。アドバイザリが掲載しているホットフィックス名は次のとおりです。

ホットフィックスはCisco.comのSoftware Centerから入手します。回避策についてアドバイザリは「この脆弱性に対処する回避策はありません」と明記しており、設定変更で塞ぐ選択肢は用意されていません。

注意したいのは、この表に載っているのが6つのリリース系列だけである点です。cve.orgのCVEレコードは7.3.0から7.3.1.2までも影響を受けるリリースとして列挙していますが、7.3系列向けのホットフィックスはアドバイザリの表にありません。表に掲載された6系列に該当する場合はそのホットフィックスを適用し、7.3系のように表に名前のない影響リリースを運用している場合は、Cisco Software CheckerでFirst Fixedリリースを確認し、判断が付かなければCisco TACに問い合わせたうえで修正済みリリースへアップグレードする流れになります。アドバイザリ自身も、修正済みソフトウェアへのアップグレードとSoftware Checkerでの確認を案内しています。

アドバイザリにはあわせて、FMCの管理インタフェースがインターネットから直接到達できない構成であれば攻撃面が縮小するという注記も付いています。

CVSS5.3とSecurity Impact Rating Highが食い違う理由#

CVSSの基本値5.3は、この脆弱性の単体での影響を評価した数値です。ベクトルのC:L/I:N/A:Nが示すとおり、得られるのは低権限アカウントとしての読み取りアクセスであり、設定の書き換えやサービス停止までは単体では至らないという評価になっています。

一方でCiscoは、CVSSの示すMediumではなくSecurity Impact RatingをHighと評価しています。アドバイザリはその理由を、この脆弱性が他のCisco Secure FMC Softwareの脆弱性と組み合わせて権限昇格に使えるためと説明しています。単体では低権限の足がかりにすぎなくても、認証の壁を越えた内側からしか届かない別の欠陥に手が届くようになると、最終的な影響は基本値の示す範囲を超えます。組み合わせの相手となる具体的な脆弱性をCiscoは公表していません。

基本値は攻撃の連鎖や実際の悪用状況を織り込まない設計になっているため、ベンダーの重大度評価や悪用の事実と併せて読む必要があります。CVSS、KEV、EPSSをどう組み合わせて優先順位を付けるかは次の記事で整理しています。

実際の悪用の確認とKEV収載が意味すること#

Cisco公式アドバイザリのExploitation and Public Announcementsの節は、「2026年7月、Cisco PSIRTはこの脆弱性が実際に悪用されていることを認知した」と記載しています。アドバイザリが述べているのはここまでです。公開前から悪用されていたかどうかは、執筆時点で確認できる一次情報には書かれていません。悪用がいつ始まったかを特定できない以上、修正の適用より前に到達されていた可能性も残るものとして扱い、適用と痕跡確認をセットで進める判断が安全側になります。報告者はHorizon3.aiのJimi Sebree氏とアドバイザリのSourceの節に記載されています。

CISAのKEVカタログには2026年7月29日付でCVE-2026-20316が追加されました。カタログ上の脆弱性名はCisco Secure Firewall Management Center Use of Hard-coded Password Vulnerability、KEVエントリのdueDateは2026年8月1日、ランサムウェアキャンペーンでの利用は「Unknown」と記載されています。ただしこのdueDateがそのまま一律の対応期限になるわけではありません。この是正要件はCISAのBOD 26-04(Prioritizing Security Updates Based on Risk)にひもづくもので、BOD 26-04にもとづく実際の対応期限は資産がインターネットに公開されているかどうかなどで変わります。KEVエントリの要求事項も、各資産のインターネット公開状況を評価したうえでBOD 26-04のパッチ適用指針に従うよう求めています。BOD 26-04は米国の連邦民間行政機関(FCEB)に対し、公開資産上にあって悪用後に資産の完全な制御を攻撃者に与えるKEV収載脆弱性の修正を最優先とし、リスクの低いものは対応を後ろ倒しにする方針を求めています。あわせて、パッチ適用より前に侵害されていなかったかを確認しなければならない場合の基準も定めています。

収載からdueDateまでが3日という設定は、CISAがこのCVEだけを個別に判断した結果ではなく、BOD 26-04のAppendix AにあるTable 1: Remediation Timelinesの定型値です。期限は資産が公開されているか、KEVに収載されているか、攻撃を自動化できるか、悪用後に得られる制御が部分的か完全かという4つの変数で決まります。本CVEにはCISAがSSVC 2.0.3で悪用状況をactive、自動化可能性をyes、技術的影響をpartial(部分的な制御)と付与しており、公開資産上ではTable 1の3日の区分に当たります。KEVエントリのrequiredActionは、ベンダーの指示にもとづく緩和策の適用に加えて、BOD 26-04とCISAのForensics Triage Requirementsへの適合、および各資産のインターネット公開状況を評価することを求めています。日本の組織に法的な拘束力が及ぶわけではありませんが、対応の急ぎ具合を見積もる材料にはなります。

CISAは2026年7月29日、実際の悪用の証拠にもとづきCVE-2026-20316をKEVカタログへ追加したと公表しました。あわせて、BOD 26-04がFCEB機関に対し、KEVカタログに載っていて公開資産上にあり悪用後に資産の完全な制御を与える脆弱性の迅速な修正を優先し、リスクの低いものは対応を後ろ倒しにするよう求めていること、パッチ適用前に侵害されていなかったかを確認すべき場合の基準を定めていることを説明しています。同時に、BOD 26-04の適用対象はFCEB機関に限られるものの、すべての組織にリスクベースの脆弱性管理とKEV収載脆弱性の優先的な修正を推奨するとしています。

管理者が取るべき対応の順序#

回避策がない以上、対応は修正済みソフトウェアの適用を軸に組み立てます。実際の悪用が確認されており、悪用の開始時期も特定できないため、適用と並行して痕跡の確認まで進める流れが実務的です。

Cisco公式アドバイザリは資格情報のローテーションを明示的な要件としては挙げていません。ただし低権限とはいえ管理装置内の情報を読み取られた可能性がある事案では、そこから参照できた設定情報や連携用の資格情報を更新するかどうかを、露出状況と痕跡の有無に照らして判断する運用が一般的です。

侵害の痕跡を確かめる考え方#

Ciscoはアドバイザリに、悪用の可能性を判定する手順を掲載しています。expertモードで次のコマンドを実行し、出力されたログメッセージに/var/tmp/license.tmpが含まれるかどうかを見る方法です。

zgrep "package_info.*license" messages*

アドバイザリが示す出力例では、wwwユーザがsudo経由でrootとして/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsmを実行した記録が残っています。該当する出力があった場合はこの脆弱性が悪用された可能性があるとされ、Ciscoは直ちにCisco TAC(Technical Assistance Center)へ連絡し、復旧の選択肢について支援を求めるよう案内しています。

この確認方法には前提が2つあります。1つ目は、痕跡が出ないことが侵害されていないことの証明にはならない点です。ログのローテーションで古い記録が失われている場合や、攻撃者が別の経路を使った場合には検索に引っかかりません。2つ目は、判定の基準をアドバイザリの記載に沿わせ、独自の解釈で結論を出さない点です。なおアドバイザリのAction Linksには関連するSnortルール66883が示されており、追加のネットワーク検知手段として対応製品やルール内容を確認する材料になります。

管理面を分離して露出を減らす#

今回の脆弱性は製品側の欠陥であり、利用者側の設定で完全に防げるものではありません。ただしCiscoが注記しているとおり、管理インタフェースがインターネットから直接到達できない構成であれば攻撃面は縮小します。管理面(management plane)を業務トラフィックから切り離す設計は、この種の欠陥が出たときの被害の広がり方を変えます。設計は3層に分けると整理しやすくなります。1つ目は経路の分離で、管理インタフェースを専用のセグメントに置きます。2つ目は到達元の限定で、管理端末や踏み台サーバなど特定の送信元だけを許可します。3つ目は認証と権限の最小化で、管理アカウントに多要素認証を課し、役割ごとに必要最小限の権限だけを与えます。

管理面を独立したセグメントとして設計する手順は次の記事で扱っています。

まとめ#

CVE-2026-20316は、ファイアウォールの集中管理サーバに低権限アカウントの静的な認証情報が埋め込まれていた脆弱性です。CVSS基本値は5.3にとどまりますが、他の脆弱性と組み合わせた権限昇格の踏み台になり得るとして、CiscoはCVSSの示すMediumではなくSecurity Impact RatingをHighと評価しています。Cisco PSIRTは2026年7月に実際の悪用を認知しました。CISAも2026年7月29日にKEVカタログへ追加しています。

回避策は公開されていません。対応は、アドバイザリの表に掲載された6つのリリース系列であればホットフィックスの適用、7.3系のように表にない影響リリースであればCisco Software CheckerやCisco TACで確認した修正済みリリースへのアップグレードになります。適用と並行して、アドバイザリが示すログ検索で痕跡を確認し、管理インタフェースの外部露出を点検する流れが実務的です。基本値の数字だけを見て後回しにすると実態の緊急度を見誤る類型のCVEであり、ベンダーの重大度評価と悪用の事実を合わせて優先順位を判断する運用が求められます。