Cisco устранила эксплуатируемый сбой SSL VPN в ASA и FTD
Cisco выпустила исправления для уязвимости CVE-2026-76418 в Cisco Secure Firewall ASA Software и Cisco Secure Firewall Threat Defense (FTD) Software. Проблема получила оценку 8,6 по шкале CVSS и уже эксплуатируется в атаках. Удалённый неаутентифицированный атакующий может вызвать внеплановую перезагрузку устройства и отказ в обслуживании.
Ошибка затрагивает SSL VPN с вторичной аутентификацией
Уязвимость находится в сервисе Remote Access SSL VPN. Cisco связывает её с логическими ошибками, возникающими, когда для tunnel group настроена вторичная аутентификация. Атакующий может отправить специально сформированный запрос при подключении к удалённому SSL VPN.
Для достижения уязвимого пути обработки успешная VPN-аутентификация не нужна. Следствием эксплуатации становится перезагрузка затронутого устройства, а значит, недоступность функций, которые оно обслуживает.
Условия воздействия включают уязвимую версию ASA или FTD, доступность службы входа в SSL Remote Access VPN и включённую secondary authentication в области tunnel group. Cisco сообщила, что узнала об активной эксплуатации в октябре 2026 года, но не раскрыла начало кампании, её масштаб и предполагаемых участников.
Какие версии получили исправления
Для Cisco Secure Firewall ASA обновления выпущены в версиях 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, а также 9.24.1.27 и 9.24.10.1. Они закрывают проблему в соответствующих ветках, включая 9.16 и более ранние выпуски.
Для Cisco Secure FTD исправления доступны в версиях 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1. Администраторам следует сопоставить используемую ветку с перечнем Cisco и установить соответствующий релиз.
Что проверить до обновления
При включённой команде tunnel-group-list enable Cisco рекомендует проверить все tunnel group, включая DefaultWEBVPNGroup, на параметр secondary-authentication-server-group. Если список групп отключён, проверять всё равно необходимо DefaultWEBVPNGroup: отключение списка не устраняет риск при включённой вторичной аутентификации в группе по умолчанию.
В качестве временной меры Cisco предлагает отключить список tunnel group, если DefaultWEBVPNGroup не использует вторичную аутентификацию. Альтернативный вариант — отключить secondary authentication для пользовательских групп или DefaultWEBVPNGroup. В FTD необходимо просмотреть развёрнутую политику удалённого доступа и итоговую конфигурацию устройства в Cisco Secure FMC Software либо Cisco Secure FDM.
Контекст активной эксплуатации уязвимостей Cisco дополняет актуальные риски уязвимостей Cisco, где собраны другие актуальные риски для инфраструктуры. Практический приоритет для бизнеса — инвентаризировать внешние SSL VPN, проверить группы туннелей и вторичную аутентификацию, а затем установить доступный патч в рамках согласованного окна работ.