Cisco ASA/FTD SSL VPN — DoS без входа, вендор подтверждает атаки (CVE-2026-76418)
Суть
Логическая ошибка в Remote Access SSL VPN Cisco Secure Firewall ASA и Secure Firewall Threat Defense (FTD). Неаутентифицированный удалённый атакующий при доступном SSL VPN login и настроенной вторичной аутентификации на tunnel group может вызвать перезагрузку устройства (DoS). Это не RCE и не захват управления по тексту Cisco. CVSS 3.1 — 8.6 (AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H, Cisco).
Затронуто и исправлено
Условия одновременно: уязвимый релиз + SSL remote access VPN login reachable + secondary-authentication-server-group на tunnel group (проверка не ограничена профилями из group list на login page). Если tunnel-group-list enable снят — всё равно проверяйте DefaultWEBVPNGroup.
| ASA | First fixed |
|---|---|
| 9.16 и ниже | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 или 9.24.10.1 |
| FTD | First fixed |
|---|---|
| 7.0 и ниже | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Не затронуты (Cisco): CDFW, cdFMC, Secure Access (CSA), Secure FMC Software.
Эксплуатация
- Cisco PSIRT: active exploitation, осведомлённость в октябре 2026. Деталей атак и IoC вендор не дал.
- INCIBE-CERT (29–30.10.2026): для CVE-2026-76418 — эксплуатация «Sí».
- CISA KEV на момент этого выпуска — нет.
Как проверить
(A) Затронуты ли вы (экспозиция, не критерий патча):
# ASA
show running-config webvpn
show running-config tunnel-groupИщите webvpn enable на интерфейсе и secondary-authentication-server-group на любых tunnel group, включая DefaultWEBVPNGroup. Дополнительно: открывается ли страница RA VPN / AnyConnect снаружи (outside, NAT/ACL, 443). FTD: Devices → VPN → Remote Access в FMC или Remote Access VPN в FDM + итоговый running-config.
(B) Стоит ли патч (после апгрейда):
show versionСверьте с first fixed своей линии и своего train (для 9.24: ≥ 9.24.1.27 или ≥ 9.24.10.1 — это разные ветки). Software Checker: https://sec.cloudapps.cisco.com/security/center/softwarechecker.x
Патч на месте, если версия ≥ first fixed своего train; secondary auth при этом может и должна остаться — это не признак провала. После планового reload апгрейда: RA VPN поднимается, тестовый логин проходит. Не встало — rollback по runbook Cisco.
Как исправить
- Резервная копия конфигурации до апгрейда; окно обслуживания с учётом reload. Автопатча «из коробки» нет — нужен плановый rollout (вручную, FMC upgrade task, оркестрация).
- ASA: upgrade image по Upgrade Guide своей платформы. FTD через FMC: Devices → Device Management → upgrade task на устройство/группу; unmanaged FDM — локальный upgrade по доке FDM.
- HA: сначала standby/secondary → verify → active (для FTD HA — порядок из Upgrade Guide/FMC).
- После апгрейда:
show versionvs first fixed своего train; smoke RA VPN и AAA; secondary auth — как в политике. - Подводные камни: неподдерживаемый upgrade path; mixed ASA/FTD; secondary auth на группах вне UI group list; pinned image в автоматизации.
Если обновить нельзя
Полного workaround нет. Сначала посмотрите DefaultWEBVPNGroup и остальные tunnel group: есть ли secondary-authentication-server-group.
Временная mitigation (Cisco; режим webvpn / tunnel-group … general-attributes):
- DefaultWEBVPNGroup без secondary auth → в webvpn:
no tunnel-group-list enable(пользователи должны знать имя профиля). - DefaultWEBVPNGroup или любая tunnel group с secondary auth → снять secondary auth (
no secondary-authentication-server-group) на всех таких группах: снижает защиту VPN.
Только до патча; затем верните политику, сделайте smoke-login и держите исправленный релиз. Операционный trade-off (не workaround вендора): временно убрать SSL VPN с outside, если бизнес позволяет.
Признаки взлома и что делать
IoC от Cisco по этому CVE нет. По тексту вендора эксплуатация даёт DoS (reload), не захват устройства. Неожиданные reload при экспонированном SSL VPN — симптом возможной эксплуатации этого CVE и повод смотреть журналы. Ротация VPN/AAA-секретов и forensic — только если есть признаки другой компрометации шире DoS; тогда одного патча мало.