Cisco выпустила предупреждение об активно эксплуатируемой уязвимости в сервисе Remote Access SSL VPN на межсетевых экранах Cisco Secure Firewall ASA и Cisco Secure Firewall Threat Defense (FTD). Ошибка получила идентификатор CVE-2026-76418 и оценку 8,6 по шкале CVSS. Атакующий может удалённо, без аутентификации, отправить специально сформированный запрос при подключении к SSL VPN и вызвать перезагрузку устройства — то есть отказ в обслуживании.
Причина — логические ошибки, возникающие, когда на tunnel group настроена вторичная аутентификация. Обходных путей вендор не предлагает; исправления уже вышли.
Кого касается: проверка конфигурации
Уязвимость проявляется не на каждом ASA и FTD, а только при определённом наборе настроек. В рекомендациях Cisco сказано: если в рабочей конфигурации присутствует ключевое слово webvpn и SSL VPN включён хотя бы на одном интерфейсе, конфигурация уязвима.
Дальше проверка зависит от того, включён ли список tunnel group:
- если настроено
tunnel-group-list enable, проверять нужно все tunnel group, включая группу по умолчаниюDefaultWEBVPNGroup, на наличиеsecondary-authentication-server-group; - если
tunnel-group-list enableотсутствует или был удалён командойno tunnel-group-list enable, проверять нужно группу по умолчаниюDefaultWEBVPNGroup— отключение списка групп не убирает экспозицию, когда эта группа использует вторичную аутентификацию.
Какие версии закрывают дыру
Исправления выпущены для Secure Firewall ASA в версиях 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 и 9.24.10.1.
Для Secure FTD патчи вошли в версии 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1.
Чтобы понять, какие из ваших продуктов затронуты, Cisco предлагает Cisco Software Checker: он определяет ПО, на которое распространяются Security Advisory, и возвращает ближайший релиз с исправлением.
Временная мера и её цена
Cisco настаивает на немедленном обновлении, но даёт и временную меру: отключить вторичную аутентификацию в любом настроенном списке tunnel group или в группе по умолчанию DefaultWEBVPNGroup.
Вендор прямо предупреждает, что мера проверена в тестовой среде, но применимость и эффективность в каждом конкретном окружении нужно оценивать самостоятельно. Кроме того, любая временная мера или обход может негативно сказаться на функциональности, производительности и/или безопасности сети — в зависимости от сценария развёртывания и ограничений заказчика.
Что делать администратору
Порядок действий простой, но пропускать шаги нельзя. Сначала определите по конфигурации, попадает ли устройство под условия уязвимости: наличие webvpn, включённый SSL VPN хотя бы на одном интерфейсе и вторичная аутентификация на нужной tunnel group. Затем сверьте текущую версию с перечнем исправленных релизов — для ASA и для FTD списки разные. Если обновиться сразу нельзя, примените временную меру с отключением вторичной аутентификации и зафиксируйте, какие сценарии входа она затрагивает.
Типичная ошибка — считать, что отключение tunnel-group-list enable само по себе снимает риск. Cisco отдельно оговаривает обратное: если группа DefaultWEBVPNGroup использует вторичную аутентификацию, экспозиция сохраняется.
Смежная история с почтовым шлюзом Cisco показывает, что вендор в этом году уже сталкивался с эксплуатацией без обходных путей — Cisco Secure Email Gateway: эксплуатируют CVE-2026-76519. Схожий сценарий с 0-day разбирали и у другого производителя — F5 BIG-IP APM: эксплуатируют 0-day CVE-2026-94127.
Частые вопросы
Что именно позволяет сделать CVE-2026-76418?
Удалённо, без аутентификации, отправить сформированный запрос при подключении к SSL VPN и вызвать перезагрузку устройства. Это отказ в обслуживании, а не выполнение кода.
Уязвимы ли все межсетевые экраны Cisco ASA и FTD?
Нет. Нужны ключевое слово webvpn в конфигурации, включённый SSL VPN хотя бы на одном интерфейсе и вторичная аутентификация на tunnel group, включая DefaultWEBVPNGroup.
Есть ли обходной путь?
Cisco заявляет, что обходных путей нет. Есть только временная мера — отключить вторичную аутентификацию на затронутых tunnel group.
Отключение tunnel-group-list снимает проблему?
Нет. Если группа DefaultWEBVPNGroup использует вторичную аутентификацию, отключение списка групп не убирает экспозицию.
Какие версии ASA закрывают уязвимость?
9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 и 9.24.10.1.
Какие версии FTD закрывают уязвимость?
7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1.
Как быстро понять, затронут ли мой парк устройств?
Воспользуйтесь Cisco Software Checker: он показывает, какие продукты затронуты advisory, и возвращает ближайший исправленный релиз.
Чем рискует бизнес, если отложить обновление?
Перезагрузкой межсетевого экрана по внешнему запросу без аутентификации — то есть перерывом в доступе к VPN и в защите периметра. Вендор подтверждает активную эксплуатацию.
Источник: networkworld.com