Cisco ASA／Firepowerに永続化バックドア「FIRESTARTER」、CISAが緊急警告

「Ciscoのファイアウォールはちゃんとパッチ当てたから安心だよね？」
「ファーム更新したのに、まだ侵入者が残ってるって本当に？」

チップス

ボス、ファイアウォールってネットワーク全体を守る装置ですよね？それが乗っ取られてるなんて怖すぎでしゅ……。

ボス

ふふふ、しかも厄介なのは、CISAが「パッチを当てても駆除できない」と明言している点だ。再起動でも消えん。物理的な電源断（ハードリセット）が必要なんだ。

2026年4月28日、CISAと英国NCSCがCisco ASA／Firepower／Secure Firewallを標的とする永続化バックドア「FIRESTARTER」のマルウェア分析レポートを公開しました。
本件は連邦機関のファイアウォールが実際に侵害されていた事例で、日本企業にも同型機器の利用が広がっています。
本記事では、攻撃の手口と組織が今すぐ取るべき対応を整理します。

「パッチを当てたから安心」という前提が崩れる事案です。
境界機器の運用ポリシーを再点検する契機として、本件をしっかり押さえましょう。

FIRESTARTER侵害の概要

本件は単なる脆弱性警告ではなく、実被害が確認された事案です。詳細を整理します。

何が起きたのか

CISAは米連邦機関のCisco ASAデバイスでFIRESTARTERバックドアを発見し、2025年9月初旬から2026年3月までC2通信が継続していたと報告しました。
本侵害は2024年に発覚した「ArcaneDoor」キャンペーンと同一の攻撃者によるものとCiscoが高い確度で判断しています。
影響範囲は以下のとおりです。

チップス

9月から3月って、半年もバレずに通信され続けてたんでしゅか！？

ボス

そうだ。境界機器のログ監視は内部端末より手薄になりがちで、攻撃者はそこを突いてきた。

日本企業にとっての重要性

Cisco ASA／Firepowerは日本の中堅・大企業や官公庁で広く使われており、JPCERT／CCもCVE-2025-20333／20362への注意喚起を出しています。
同じAPTグループは戦略的標的を狙うため、日本企業も「次の標的になる可能性がある」と捉えるべきです。

攻撃の仕組みと検出・除去の難しさ

FIRESTARTERが「パッチでは除去できない」と言われる理由を見ていきます。

永続化の仕組み

FIRESTARTERはCisco Firepower／Secure Firewallで動作するLinux ELFファイルとして実装され、終了シグナルを検知すると自身を再起動する仕組みを持ちます。
ファームウェア更新や通常のリブートでも残存し、デバイスの電源を物理的に抜く「ハードリセット」を行うまで除去されません。
侵害後の挙動は以下のとおりです。

チップス

もう、ファームを更新するだけじゃ全然足りないんでしゅね！物理的に電源抜くなんて、運用が大変でしゅ……！

ボス

その通り。CISAは連邦機関に4月30日までのハードリセットを求めている。日本企業も他山の石とすべきだ。

取るべき対応

境界機器の検査と運用見直しを並行して進めることが重要です。
レポートに沿った推奨対応は以下のとおりです。

まとめ

FIRESTARTERは、ネットワーク境界機器が「侵害されてもパッチで戻らない」という前提を組織に突きつけます。
境界機器のログ監視、侵害判定、物理的なリセット手順までを運用に組み込むことが、これからの境界防衛の最低条件になります。
JPCERTやCISCOの最新情報を随時確認し、自社のCisco ASA／Firepower運用を見直してください。

チップス

「パッチ当てたから大丈夫」って油断してたら、もうその先にいるかもしれないってことでしゅね！

ボス

その認識でいい。攻撃者は常に一歩先を行く前提で、運用を組むことだ。

境界機器の運用やインシデントレスポンスで実力を磨きたい方は、ぜひセキュリティフリーランス案件への参画をご検討ください。