Уязвимость в службе удалённого доступа SSL VPN затрагивает межсетевые экраны Cisco Secure Firewall ASA и Cisco Secure Firewall FTD. Специально сформированный запрос, отправленный до входа в систему, вызывает перезагрузку устройства, то есть отказ в обслуживании. Cisco узнала о реальной эксплуатации в октябре 2026 года, до публикации уведомления 28 октября.
CVE-2026-76418 и логика вторичной аутентификации
Причина - логические ошибки в обработке вторичной аутентификации. Так называют дополнительную проверку учётных данных после первой. Когда она настроена в группе туннелей (наборе параметров подключения), запрос от пользователя, который ещё не вошёл, доходит до уязвимого участка обработки. Успешный вход не нужен: достаточно, чтобы служба входа SSL VPN была доступна по сети.
Оценка Cisco - 8.6 из 10 по шкале CVSS (общая система оценки уязвимостей), уровень High. Атака идёт по сети, учётные данные не требуются, участие пользователя не нужно, сложность низкая. Влияние приходится на доступность; конфиденциальность и целостность не затронуты. Выполнение кода и кражу данных Cisco не описывает. Перезагрузка прерывает сеансы VPN и обработку трафика на время восстановления устройства.
Исправленные сборки ASA - 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 и 9.23.1.48. В ветке 9.24 исправления дают 9.24.1.27 и 9.24.10.1. Для FTD исправленные версии - 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1. Cisco проверяет только те затронутые и исправленные выпуски, которые перечислены в уведомлении.
Уязвимость требует совпадения трёх условий: уязвимая версия, доступная из сети служба входа SSL VPN и вторичная аутентификация в группе туннелей. В конфигурации проверяют, включён ли SSL VPN хотя бы на одном интерфейсе, и какие группы туннелей используют вторичную аутентификацию. Если список групп включён, просматривать нужно все группы, включая DefaultWEBVPNGroup, в том числе профили, которых нет на странице входа. Если список отключён, опасность сохраняется через группу по умолчанию, когда вторичная аутентификация осталась в ней.
На FTD те же настройки смотрят в политике удалённого доступа и в итоговой конфигурации устройства. Политику разворачивают через Cisco Secure Firewall Management Center или Cisco Secure Firewall Device Manager - консоли управления межсетевым экраном.
Обходных мер Cisco не приводит. Временная мера есть, и она снижает защищённость удалённого доступа. Когда в группе по умолчанию вторичной аутентификации нет, можно отключить список групп туннелей; тогда пользователи перестанут выбирать профиль из списка и должны знать его имя. Когда вторичная аутентификация в группе по умолчанию используется, её снятие понижает защищённость VPN. Обе меры проверены в тестовой среде, но применимость и влияние на свою сеть администратор оценивает сам. Патч они не заменяют.
Сверять версии удобно через Cisco Software Checker: инструмент сопоставляет релиз с уведомлениями и показывает первую исправленную сборку. Уязвимость нашёл Eric Fernald при разборе обращения в Cisco TAC, центр технической поддержки. Прежние сообщения об отказе в обслуживании SSL VPN у Cisco касались другой ошибки, в обработке сессий, а не этой логики групп туннелей.
Cisco подтвердила, что Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access и Secure FMC Software не затронуты. Имена атакующих, пострадавших и масштаб кампаний уведомление не раскрывает.
Для администратора значимы два обстоятельства. Вход в систему для атаки не нужен. Перезагрузка прерывает работу VPN и всех сервисов, которые идут через межсетевой экран. Проверка конфигурации и переход на исправленную сборку устраняют причину, а временные меры только уменьшают число доступных целей.
Что делать
Отключите вторичную аутентификацию на группах туннелей, где она не нужна, или откажитесь от списка групп, если группа по умолчанию обходится без неё. Оцените, как это повлияет на вход пользователей. Затем перейдите на исправленную сборку ASA или FTD из списка выше и подтвердите результат через Cisco Software Checker. Отслеживайте обновления уведомления cisco-sa-asaftd-tunnel-dos-s6mgkb75 на случай новых сведений о эксплуатации.
Ссылки
