Безопасность Важно Эксплуатируется · 30 октября 2026 г.October 30, 2026 CVE-2026-76418 CVE-2026-20349

Cisco ASA и FTD: новая zero-day в SSL VPN перезагружает файрволы, CISA дала агентствам три дняCisco ASA and FTD: new SSL VPN zero-day reboots firewalls, CISA gives agencies three days

CVE-2026-76418 позволяет без аутентификации перезагрузить файрвол Cisco одним запросом к SSL VPN. Cisco подтверждает атаки, обходного пути нет. Это вторая такая уязвимость в ASA/FTD с августа.CVE-2026-76418 lets an unauthenticated attacker reboot a Cisco firewall with a single request to its SSL VPN. Cisco confirms attacks and offers no full workaround. It is the second such ASA/FTD flaw since August.

28 октября Cisco раскрыла CVE-2026-76418 в службе Remote Access SSL VPN в Cisco Secure Firewall ASA и Secure Firewall Threat Defense (FTD). PSIRT компании знает о реальных атаках. 29 октября CISA внесла уязвимость в каталог KEV, а федеральные ведомства США должны закрыть её до 1 ноября.

Суть

Причина — логические ошибки при обработке запросов, если на туннельной группе настроена вторичная аутентификация. Неаутентифицированный атакующий отправляет специально составленный запрос к SSL VPN, и устройство уходит в перезагрузку. Через файрвол перестаёт идти весь трафик. По словам Cisco, утечки данных или захвата устройства уязвимость не даёт: это DoS.

Затронуты устройства с ASA или FTD, где сконфигурирован webvpn и SSL VPN включён хотя бы на одном интерфейсе. Индикаторов компрометации и сведений об атакующих Cisco не опубликовала. Shadowserver видит в интернете более 51 000 ASA с открытым SSL VPN.

В августе Cisco уже закрывала похожую эксплуатируемую DoS-уязвимость CVE-2026-20349 в той же службе.

Что делать

Обновиться до исправленного релиза по advisory Cisco: полного обходного пути нет.
Временно отключить вторичную аутентификацию на группе DefaultWEBVPNGroup и пользовательских туннельных группах.
Проверить журналы на неожиданные перезагрузки устройств.

On 28 October Cisco disclosed CVE-2026-76418 in the Remote Access SSL VPN service of Cisco Secure Firewall ASA and Secure Firewall Threat Defense (FTD). The company’s PSIRT is aware of attacks in the wild. On 29 October CISA added the flaw to its KEV catalog, giving US federal agencies until 1 November to fix it.

The bug

The cause is logic errors in request handling when secondary authentication is configured on a tunnel group. An unauthenticated attacker sends a crafted request to the SSL VPN and the device reloads, cutting off all traffic through the firewall. Cisco says the flaw does not enable data theft or device takeover; it is a denial of service.

Affected devices run ASA or FTD with webvpn configured and SSL VPN enabled on at least one interface. Cisco has not shared indicators of compromise or details about the attackers. Shadowserver tracks more than 51,000 internet-exposed ASA SSL VPN devices.

In August Cisco fixed a similar exploited DoS flaw, CVE-2026-20349, in the same service.

What to do

Upgrade to a fixed release listed in Cisco’s advisory; there is no full workaround.
As a stopgap, disable secondary authentication on DefaultWEBVPNGroup and on user-defined tunnel groups.
Check logs for unexpected device reloads.