Cisco ASA / FTD にゼロデイ（CVE-2025-20333 ほか）— ファイアウォールが乗っ取られ、再起動しても残る不正プログラム

何が起きたか

2025年9月25日、Cisco はファイアウォール ASA と FTD の VPN の Web 機能に脆弱性があり、すでに攻撃に使われていると発表しました。CVE-2025-20333（CVSS 9.9）は機器の中で最も強い権限でプログラムを動かされるもの、CVE-2025-20362（CVSS 6.5）は認証なしで本来入れない画面に届いてしまうもので、組み合わせて使われました。米 CISA は同日、政府機関に緊急指令 ED 25-03 を出しています。Cisco は、2024年に見つかった攻撃活動「ArcaneDoor」と同じ攻撃者とみています。

影響を受けたのは

• VPN（AnyConnect など）の Web 機能を有効にしている ASA / FTD
• 一部の古い ASA 5500-X シリーズでは、機器の起動用の領域（ROM）まで書き換えられ、再起動や更新でも不正プログラムが残るとされました

自社で確認したいこと

• 修正版にすぐ更新する
• サポートが終わった古い機種は、入れ替えを急ぐ
• 侵害の痕跡がないか、Cisco と CISA の手順で確認する。見つかったら機器を切り離し、VPN 関連のパスワードや証明書を作り直す