結論から言います。Ciscoは2026年8月12日、同年8月19日にセキュリティアドバイザリをまとめて公開すると事前通知しました（Advisory ID: cisco-sa-notice-LDquvx5d）。対象は9製品群。この中には、今まさに実際の攻撃に悪用されているゼロデイの対応に追われている Secure Firewall ASA / FTD / FMC が再び含まれています。
事前通知の段階ではCVE番号も深刻度も件数も公表されていません。それでも情シスにとって価値があるのは、「いつ来るか」が分かること自体です。残された時間は5日。ここで作業計画を組めるかどうかで、公開後の初動が変わります。
この記事でわかること
- 8月19日に修正版が出る対象9製品群と、その製品が「何をするものか」
- 「うちはCisco製品を使っていない」が誤解になりやすい理由
- ASA/FTD/FMC利用者が今回とくに注意すべき「二度手間」の落とし穴
- 事前通知で分かること／分からないことの線引き
- 公開までの5日間で現実的にできる準備
8月19日に何が公開されるのか
Cisco PSIRT（製品セキュリティインシデント対応チーム）が公開した事前通知の要点は次のとおりです。
| 項目 | 内容 |
|---|---|
| Advisory ID | cisco-sa-notice-LDquvx5d |
| 事前通知の公開 | 2026年8月12日 16:00 GMT（ステータスはInterim＝暫定版） |
| アドバイザリ公開予定 | 2026年8月19日（水） |
| 対象製品 | 9製品群 |
| CVE番号・深刻度・件数 | 事前通知時点では非公表 |
Ciscoは2026年7月からリスクベースの脆弱性開示モデルに移行しており、定例公開枠は毎月第1・第3水曜日のUTC 16:00と定められています。8月19日はその第3水曜日にあたります。UTC 16:00は日本時間では8月20日（木）午前1時です。事前通知の文面自体に時刻の再掲はありませんが、定例枠どおりであれば、日本の担当者が内容を確認できるのは実質20日（木）の朝になると見込んでおくのが現実的です。この開示モデルの変更についてはCisco脆弱性開示が月2回に定例化、7日前予告もで詳しく解説しています。
対象9製品群は「何をするもの」か
ここが今回のポイントです。9製品群のうち、情シスが名前を見てすぐ用途を思い浮かべられるのは、おそらくファイアウォール系だけではないでしょうか。しかし残りの製品こそ、資産管理台帳に載りにくく、気づかないまま社内で動いている類のものです。
| 製品名（Cisco表記） | 何をするものか／どこで動いているか |
|---|---|
| Secure Firewall Adaptive Security Appliance（ASA） | ファイアウォール／リモートアクセスVPNの本体。社外からの入口そのもの |
| Secure Firewall Threat Defense Center | ASAの後継にあたる次世代ファイアウォールのソフトウェア（FTD） |
| Secure Firewall Management Center（FMC） | 上記ファイアウォール群を一括管理する管理サーバ。ここを取られると配下が全滅する |
| BroadWorks | 通信事業者が自社サービスとして提供するクラウドPBX基盤。自社で導入した覚えがなくても、契約中のクラウド電話サービスの中身がこれという場合がある |
| Industrial Ethernet 1000 Series Switches（IE1000） | 工場・屋外向けの堅牢型スイッチ。工場自動化、監視カメラ網、ビル設備などOT側で使われ、情シスの管理範囲外に置かれがち |
| RoomOS | Webex Board / Desk / Room シリーズなど会議室のビデオ会議端末を動かすOS。総務や現場部門が発注していることが多い |
| Secure Workload | 旧Tetration。サーバ／VM／コンテナ間の通信を可視化しマイクロセグメンテーションを行う基盤 |
| Packaged Contact Center Enterprise / Unified Contact Center Enterprise | コールセンター基盤。顧客対応部門が運用しており情シスが把握していないことがある |
| Unified Intelligence Center | 上記コンタクトセンターのレポーティング／分析基盤 |
「うちはCisco製品を使っていない」は本当ですか
答えは「たいてい、どこかで使っています」です。とくに危ないのが次の3パターンです。
- 会議室の端末（RoomOS）：総務が什器として発注し、情シスの資産台帳に載っていない。ネットワークには常時つながっており、カメラとマイクを持っている
- 工場・倉庫・監視カメラのスイッチ（IE1000）：設備工事の一部として設置され、生産技術部門の管轄。IT側のパッチ運用に乗っていない
- クラウド電話（BroadWorks）：自社に機器はなく、通信事業者のサービスとして使っている。この場合、修正版の適用主体は自社ではなくサービス提供元になるため、「うちは対象外」ではなく「事業者の対応状況を確認する」が正解
境界機器やネットワーク機器が管理の目から外れると何が起きるかは、ORB化とは 境界機器が攻撃の中継拠点にされる脅威で整理しています。
ASA/FTD/FMC利用者がとくに注意すべき理由
今回の事前通知でファイアウォール3製品が対象に入っていることには、実務上の意味があります。ちょうど今、緊急対応の真っ最中だからです。
Ciscoは2026年8月11日、ASA/FTDのリモートアクセスSSL VPN機能にCVE-2026-20349（CVSS 8.6）を公表しました。認証不要でHTTPリクエストを送るだけで機器を再起動させられるDoSで、すでに実際の攻撃での悪用が確認されています。CISAのKEV（悪用が確認された脆弱性カタログ）にも登録され、米国連邦機関には8月14日という期限が課されました。詳細はCisco ASA/FTDにゼロデイ、VPNが落ちるDoSをご覧ください。
つまり多くの現場では、この数日でホットフィックスを緊急適用したばかりのはずです。そこへ5日後、同じ機器に対する新しいアドバイザリが来ます。ここで起きやすいのが次の落とし穴です。
- 二度の緊急メンテナンス：ホットフィックス適用の直後にまた計画停止が必要になり、事業部門への説明が二度手間になる
- バージョンの分岐：緊急適用したホットフィックス版と、19日に案内される推奨バージョンが噛み合わず、いったん別系統に上げ直す必要が出る可能性がある
- 「もう当てたから大丈夫」という誤解：CVE-2026-20349への対応は、19日に出る別の脆弱性への対応にはなりません
したがって、いま緊急適用を終えた機器でも、19日の内容を必ず読み直す必要があります。逆に、もしまだ緊急適用の計画停止を取り切れていないのであれば、19日の公開内容を待って1回のメンテナンス枠にまとめるという判断も選択肢になります。ただしCVE-2026-20349は悪用中なので、この判断を取れるのは「SSL VPN／IKEv2リモートアクセスVPN／ZTNAを外部公開していない」場合に限られます。公開しているなら待たずに当ててください。
事前通知で分かること・分からないこと
期待しすぎないことも大事です。今回の事前通知から読み取れる情報には、はっきりした限界があります。
| 分かること | 分からないこと |
|---|---|
| 公開日（8月19日） | CVE番号 |
| 対象となる製品群（9つ） | 深刻度・CVSSスコア |
| 修正版ソフトウェアが同時に出ること | アドバイザリの件数 |
| — | 影響を受けるバージョン |
| — | 悪用の有無・回避策 |
規模感の参考にはなります。直前の定例枠である8月5日の公開では12件のアドバイザリが出ており、最も深刻なものはCVSS 9.9でした（Cisco脆弱性12件公開、SD-WANとIOS XEが緊急）。さらに遡ると、2025年8月のファイアウォール向けバンドル公開では21件のアドバイザリ／29件の脆弱性が一度に出て、うち1件はCVSS 10.0のFMCのリモートコード実行でした。
ただし、2026年7月からの開示モデル変更で公開の刻み方そのものが変わっているため、過去の件数がそのまま今回の予測値になるわけではありません。あくまで「1桁で収まらない可能性がある」程度の心構えとして受け取ってください。
公開までの5日間で現実的にできる準備
CVE番号が分からない以上、事前にパッチを当てることはできません。できるのは「来た瞬間に動ける状態を作る」ことだけです。優先度の高い順に挙げます。
- 対象9製品群の棚卸し：とくにRoomOS端末とIE1000は、情シスの台帳ではなく総務・生産技術・施設管理の側に情報があります。19日を待たず、今のうちに「どこに何台あるか」を聞いておく
- 現行バージョンの記録：ASA/FTD/FMCについては、先日のホットフィックス適用後のバージョンを控えておく。19日の推奨バージョンと突き合わせる際に必須です
- メンテナンス枠の仮押さえ：8月20日（木）以降で計画停止の候補日を事業部門と握っておく。実際に使うかは内容次第でよく、「たぶん使う枠」を先に取るだけで初動が数日縮みます
- BroadWorks利用時は事業者へ照会：自社では手を動かせないため、提供元の対応方針と適用時期を先に問い合わせておく
- 外部公開面の再確認：ASA/FTDのVPN機能をインターネットに晒しているかどうかを確定させる。これが公開後の優先度判断をそのまま決めます
現場目線の所感
正直なところ、「7日前に予告してくれる」のは実務者としてありがたい変化です。従来は不意打ちのアドバイザリに合わせて、その日のうちに調整に走るしかありませんでした。予告があれば、少なくとも事業部門との日程調整を先に始められます。
一方で、もどかしさも残ります。CVE番号も深刻度も伏せられたまま「9製品群に何か来ます」とだけ言われても、上司に説明する材料としては弱いのです。「重大かもしれないので枠を押さえたい」としか言えず、結果として何度もオオカミ少年をやることになりかねません。予告の精度が上がって、せめて「Critical相当を含むか否か」だけでも示されると、社内調整のコストは大きく変わると感じます。
そしてもう一つ。会議室の端末や工場のスイッチのように、情シスの手が直接届かない場所にネットワーク機器が増え続けているという現実があります。今回のように「対象製品リスト」を突きつけられて初めて、自社にそれがあるのか分からない、というのは決して珍しい話ではありません。予告期間の5日間は、パッチのためというより棚卸しのために使うのが実は一番効くのではないかと思っています。
情シスはどうすべきか
個別の対策リストを自前で作り込むより、公的機関が整理した指針に沿って運用の型を作るほうが確実です。今回のケースで参照価値が高いのは次のあたりです。
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：情報資産の洗い出しと管理台帳の考え方が整理されています。今回の「台帳に載っていない機器」問題にそのまま効きます
- セキュリティインシデント対応 机上演習教材（IPA）：「公開当日に何を誰が判断するか」を事前に通しておくための教材です
- JPCERT/CC・JVN：8月19日以降、国内向けの注意喚起が出る場合があります。Cisco公式と併せて確認してください
あわせて、地道ではありますが部門横断での「機器を勝手に増やさない・増やしたら知らせる」という啓発が結局のところ効きます。会議室端末も工場スイッチも、悪意なく善意で導入されたものです。責める運用ではなく、届け出れば情シスがパッチ面倒を見る、という関係を作るほうが長続きします。
まとめ
- Ciscoは2026年8月19日（日本時間20日未明）に9製品群のアドバイザリと修正版を公開すると予告した。CVE番号・深刻度・件数は現時点で非公表
- ASA/FTD/FMCは、悪用中のCVE-2026-20349への緊急対応直後に再び対象となる。「もう当てたから大丈夫」は通用せず、バージョン分岐と二度手間に注意が必要
- 5日間でできる最善手はパッチ準備よりも棚卸し。RoomOS端末・IE1000・BroadWorksなど、情シスの台帳外にある対象製品を今のうちに把握しておく
出典
- Cisco Advance Notification for Publication of August 19, 2026, Security Advisories（cisco-sa-notice-LDquvx5d）
- Cisco’s Transition to a Risk-Based Vulnerability Disclosure Model
- Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability（CVE-2026-20349）
- Cisco Advance Notification for Publication of August 5, 2026, Security Advisories
- Cisco Event Response: August 2025 Secure Firewall ASA, FMC, FTD Software Security Advisory Bundled Publication
- Cisco Industrial Ethernet 1000 Series Switches Data Sheet
- Cisco BroadWorks – Cloud Calling and Collaboration
- Security NEXT: Ciscoがアップデートを事前告知 – 8月19日に修正版を公開予定
