Skip to content
Hacker Posts

Cisco ASA/FTD : zero-day DoS activement exploité (CVE-2026-76418)

Cisco corrige une faille (CVE-2026-76418) du VPN SSL d'accès distant d'ASA et FTD : un attaquant non authentifié peut faire redémarrer le pare-feu. Exploitation active constatée.

Publié le 3 min de lecture
cveciscoftdalerte

Cisco a corrigé une faille de déni de service activement exploitée dans Secure Firewall ASA et Threat Defense (FTD). CVE-2026-76418 permet à un attaquant distant non authentifié d'envoyer une requête au VPN SSL d'accès distant (Remote Access SSL VPN) et de forcer le redémarrage de l'équipement. Le PSIRT de Cisco dit avoir observé une exploitation en octobre 2026. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1412 le 29 octobre. Si vous terminez des VPN d'accès distant sur ASA ou FTD, patchez maintenant.

Produits concernés

Le défaut touche le service Remote Access SSL VPN. Cisco l'attribue à des « erreurs de logique lorsque l'authentification secondaire est configurée sur un groupe de tunnels ». Un équipement est exposé dès que le VPN SSL est activé sur au moins une interface — en pratique, dès que le mot-clé webvpn figure dans la configuration active. ASA et FTD sont concernés ; ce n'est pas le chemin IKEv2 ni le mode clientless qui déclenche, mais le chemin SSL d'accès distant. Score CVSS : 8.6. Le résultat est une boucle de redémarrage : l'attaquant répète la requête, le pare-feu reboote, les télétravailleurs perdent leur tunnel à chaque fois.

Versions affectées et correctifs

Le CERT-FR et Cisco listent notamment : ASA antérieures à 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 et 9.24.1.27 ; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1. Alignez votre branche sur le bulletin de l'éditeur (cisco-sa-asaftd-tunnel-dos-s6mgkb75) avant de planifier la montée de version.

Exploitation

Cisco indique avoir « eu connaissance d'une exploitation active » de CVE-2026-76418 en octobre 2026. Aucun acteur n'est nommé, aucune date de début ni mesure d'ampleur n'est donnée, et aucun PoC public n'était disponible au moment de la publication. Aucun rapport de chercheur tiers ne confirme la campagne : la revendication d'exploitation repose sur l'avis Cisco, qui est ici la source primaire.

Que faire

  1. Mettre à jour vers une version corrigée maintenant ; faites correspondre votre train à l'avis Cisco.
  2. Si le correctif ne peut pas être appliqué immédiatement et que DefaultWEBVPNGroup n'utilise pas d'authentification secondaire, désactiver la liste de groupes de tunnels (contournement provisoire de Cisco).
  3. Sinon, désactiver l'authentification secondaire sur toute liste de groupes de tunnels configurée, ou sur le groupe par défaut, puis planifier la mise à jour.
  4. Vérifier si le VPN SSL est réellement nécessaire sur les interfaces exposées : show running-config | include webvpn donne l'exposition.
  5. Surveiller les redémarrages inexpliqués dans les journaux comme indicateur grossier de tentatives.

Contexte

Le VPN d'accès distant d'ASA/FTD est une cible récurrente : le CISA a recensé plus de 100 failles Cisco exploitées depuis 2021, et le VPN SSL d'ASA a concentré cette année plusieurs bugs de déni de service et de contournement d'authentification. Une faille « crash-only » paraît moins grave qu'une exécution de code — jusqu'à ce qu'on se souvienne que l'équipement mis à terre est précisément ce qui relie les télétravailleurs à Internet. Traitez la disponibilité de la tête de tunnel VPN comme l'actif attaqué, pas comme un effet de bord.

Articles liés