米ネットワーク機器大手シスコシステムズは、企業のファイアウォールを一括管理する製品に深刻な脆弱性が見つかり、すでに実際の攻撃に悪用されていると警告しました。米政府のサイバー当局は、行政機関に対し8月1日までの対処を命じており、企業にも早急な対応が求められています。
管理製品の中枢を直撃
問題となったのは、シスコの「Secure Firewall Management Center（FMC）」という製品です。FMCは、社内に設置された複数のファイアウォール（外部からの不正アクセスを防ぐ防火壁）を一元的に監視・設定するための管理ソフトで、企業ネットワークの守りの要にあたります。今回の欠陥は「CVE-2026-20316」として登録されました。
固定パスワードが弱点
脆弱性の正体は「静的な認証情報」の問題です。製品の中に、低い権限を持つ利用者アカウント用の初期パスワードがあらかじめ固定で組み込まれており、攻撃者はこの共通の認証情報を使って機器にログインし、内部の機密データにアクセスできてしまいます。深刻度は5段階中で「高（CVSSスコア5.3）」とされ、他の欠陥と組み合わせればさらに強い権限を奪われる恐れも指摘されています。
当局が対処を命令
シスコは7月にこの脆弱性が実際に悪用されていることを把握しました。米サイバーセキュリティ・インフラ庁（CISA）は、悪用が確認された脆弱性をまとめる「既知の悪用脆弱性カタログ（KEV）」に本件を追加し、政府機関に8月1日までの修正を義務づけています。シスコは利用企業に対し、修正版の適用に加えて、機器上のすべての認証情報・鍵・証明書を入れ替えるよう強く呼びかけています。
日本への影響
シスコ製品は世界中の企業や官公庁で使われており、日本でも金融機関や製造業、公共機関のネットワーク基盤に広く導入されています。今回のように管理製品そのものが狙われると、その配下にある多数のファイアウォールが一挙に危険にさらされ、企業内部の機密情報や個人情報が流出する恐れがあります。海外の話と油断せず、自社が該当製品を使っていないか、情報システム部門が至急確認することが求められます。
対策として重要なのは、シスコが公開した修正版を速やかに適用したうえで、初期設定のまま放置されがちな認証情報を必ず変更することです。とくに「静的な認証情報」の問題は、製品を導入したときの設定を見直すだけで防げる場合もあります。日本の企業でも、独立行政法人情報処理推進機構（IPA）などが平時から呼びかけている「初期パスワードの変更」「不要なアカウントの削除」といった基本を、改めて徹底することが被害を防ぐ近道となります。
まとめ：守りの要である管理製品こそ、攻撃者に狙われます。自社の機器設定を、今日のうちに点検しておきましょう。
出典:
BleepingComputer – Cisco warns of FMC static credential flaw exploited in zero-day attacks
The Hacker News – Cisco FMC Zero-Day Actively Exploited
Help Net Security – Cisco FMC static credentials exploited (CVE-2026-20316)
Photo: Franck V. / Unsplash
