CVE-2026-76418 : Faille Zero-Day de Cisco Secure Firewall Exploitée dans des Attaques VPN SSL

Cisco a publié des mises à jour de sécurité pour CVE-2026-76418, une vulnérabilité de type zero-day de haute gravité affectant le service VPN SSL d’accès à distance dans le logiciel Cisco Secure Firewall Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD). La faille est activement exploitée dans la nature et peut permettre à un attaquant distant non authentifié de forcer un pare-feu vulnérable à redémarrer, provoquant une condition de déni de service (DoS) et perturbant l’accès à distance.

Cisco a attribué à la vulnérabilité un score CVSS 3.1 de 8.6. La faille ne nécessite ni authentification ni interaction de l’utilisateur et présente une complexité d’attaque faible. Sa principale conséquence en matière de sécurité est la perte de disponibilité plutôt qu’une compromission de la confidentialité ou de l’intégrité. Cisco n’a pas associé la vulnérabilité à une exécution de code à distance ou confirmé un vol de données.

La vulnérabilité est particulièrement importante car les périphériques de sécurité en bordure et les passerelles VPN sont souvent directement exposés à Internet et fournissent un accès critique aux environnements d’entreprise. Une exploitation répétée pourrait obliger les appareils affectés à redémarrer et interrompre la connectivité VPN pour les employés à distance et les administrateurs.

Cisco a divulgué la vulnérabilité le 28 octobre 2026, après que son équipe de réponse aux incidents de sécurité des produits (PSIRT) a pris connaissance d’une exploitation active en octobre. Le problème a été initialement identifié par Eric Fernald lors de la résolution d’un cas de support du centre d’assistance technique de Cisco.

Pour détecter CVE-2026-76418, les équipes de sécurité devraient prioriser la surveillance des appareils Cisco ASA et FTD exposés à Internet pour des redémarrages inattendus, des tentatives de connexion VPN SSL répétées, une activité d’authentification anormale et des perturbations de la disponibilité affectant les services d’accès à distance.

La plateforme d’intelligence détection native IA de SOC Prime permet aux équipes de sécurité d’accroître leur visibilité sur l’exploitation des vulnérabilités et le comportement suspect à travers la SIEM, EDR, pare-feu, réseau et télémétrie d’identité.

Cliquez Explorer les détections pour accéder à un contenu de détection pertinent et à la logique de chasse aux menaces. Pour détecter CVE-2026-76418, les défenseurs devraient combiner l’évaluation de la configuration du pare-feu avec la télémétrie VPN, les événements de redémarrage de l’appareil, l’activité réseau et les journaux d’authentification pour identifier les tentatives d’exploitation et confirmer l’exposition.

Contact Ventes

Analyse de CVE-2026-76418

La vulnérabilité réside dans la fonctionnalité VPN SSL d’accès à distance du logiciel Cisco Secure Firewall ASA et Secure FTD.

Selon Cisco, la cause principale implique des erreurs de logique qui se produisent lorsque l’authentification secondaire est configurée sur un groupe de tunnels. Un attaquant non authentifié peut envoyer une requête spécialement conçue lors de la connexion au service VPN d’accès à distance SSL et déclencher un redémarrage inattendu de l’appareil.

Fait important, une authentification VPN réussie n’est pas requise pour accéder au chemin de traitement vulnérable. Cela augmente considérablement la surface d’attaque potentielle car un attaquant n’a besoin que d’un accès au réseau au service VPN SSL exposé plutôt que de justificatifs VPN valables.

Les détails de CVE-2026-76418 indiquent que trois conditions principales doivent être remplies pour qu’un appareil soit exposé :

• Le pare-feu doit exécuter une version vulnérable de Cisco Secure Firewall ASA ou FTD.
• Le service de connexion VPN SSL d’accès à distance doit être accessible.
• L’authentification secondaire doit être configurée au sein d’un groupe de tunnels affecté.

Cisco recommande aux administrateurs de déterminer d’abord si la fonctionnalité VPN SSL est activée. Sur les systèmes ASA, les configurations contenant webvpn avec le VPN SSL activé sur une interface nécessitent un examen supplémentaire. Les administrateurs FTD doivent inspecter la configuration de VPN d’accès à distance déployée à travers le Centre de gestion de sécurité ou le Gestionnaire de dispositifs.

Les administrateurs devraient ensuite inspecter les groupes de tunnels pour :

groupe de serveurs d’authentification secondaire

Lorsque tunnel-group-list enable est configuré, chaque groupe de tunnels devrait être examiné, y compris DefaultWEBVPNGroup. Cisco met spécifiquement en garde contre le fait que vérifier uniquement les profils de connexion affichés sur la page de connexion VPN est insuffisant.

Supprimer ou désactiver la liste de groupes de tunnels n’élimine pas automatiquement l’exposition. Si DefaultWEBVPNGroup utilise toujours l’authentification secondaire, le chemin vulnérable demeure accessible.

CVE-2026-76418 affecte les déploiements Cisco Secure Firewall ASA et Secure FTD qui remplissent ces conditions de configuration et exécutent des versions logicielles vulnérables.

Cisco a confirmé que les produits suivants ne sont pas affectés :

• Pare-feu livré par le cloud
• Centre de gestion de pare-feu livré par le cloud
• Accès sécurisé Cisco
• Logiciel du Centre de gestion de sécurité

La faille est classée comme CWE-690, qui nécessite une valeur de retour non vérifiée conduisant à une déréférencement de pointeur NULL. Le vecteur CVSS de Cisco reflète l’accessibilité réseau, la faible complexité d’attaque, sans privilèges requis, pas d’interaction utilisateur, et un impact élevé sur la disponibilité.

Une attaque réussie ne procure pas à l’adversaire un accès administratif au pare-feu basé sur les informations actuellement divulguées. Au lieu de cela, l’appareil redémarre de manière inattendue, interrompant sa disponibilité.

Selon l’architecture réseau, une exploitation répétée pourrait avoir des conséquences opérationnelles plus larges. Un pare-feu affecté peut fournir une connectivité à distance pour les employés, les administrateurs, les partenaires ou les services tiers. Cette interruption de la passerelle peut donc interférer avec les opérations commerciales même sans compromettre les données.

Cisco a confirmé que les attaques exploitant cette vulnérabilité ont eu lieu en octobre 2026 mais n’a pas identifié les acteurs de la menace responsables ni divulgué d’informations sur les victimes. CybersecurityNews indique également qu’il n’y a pas de connexion confirmée au vol de données ou à l’exécution de code à distance.

Le problème devrait également être distingué des autres vulnérabilités récentes de pare-feu Cisco divulguées. Il est distinct des failles précédemment signalées affectant l’infrastructure Cisco ASA et VPN, avec des causes techniques et des voies d’exploitation différentes.

Au moment de l’écriture, ni l’avis de Cisco ni les rapports fournis ne présentent un PoC public pour CVE-2026-76418 contenant un code exploit reproductible. L’absence de preuve de concept public ne réduit pas l’urgence de la remédiation car Cisco a déjà confirmé une exploitation réelle.

Cisco n’a pas non plus publié d’IOC pour la campagne CVE-2026-76418, tels que des adresses IP d’attaquant, des domaines, des hachages de charge utile, ou une infrastructure de menace nommée.

Cela signifie que les défenseurs devraient prioriser la chasse basée sur le comportement et la configuration plutôt que de se fier exclusivement aux indicateurs statiques.

Les points potentiels d’investigation incluent :

• Redémarrages ASA ou FTD inattendus sans explication administrative ou de maintenance
• Connexions répétées au service VPN SSL public immédiatement avant un redémarrage
• Regroupement de requêtes VPN d’accès à distance anormales provenant d’une infrastructure externe
• Perturbations répétées de la disponibilité affectant la passerelle VPN
• Temps de disponibilité du pare-feu se réinitialisant de manière inattendue
• Activité d’authentification inhabituelle entourant les redémarrages de l’appareil
• Connexions répétées à partir de la même plage d’IP ou des plages IP connexes avant l’interruption du service
• Redémarrages inexpliqués multiples de l’appareil sur une courte période

Les équipes devraient également corréler les événements de pare-feu avec la télémétrie réseau en amont. Les répartiteurs de charge, les routeurs de bord, les systèmes de protection DDoS, les plateformes IDS/IPS ou les outils de surveillance externe peuvent conserver des preuves des connexions qui se sont produites immédiatement avant l’indisponibilité du pare-feu.

Préserver cette télémétrie est particulièrement important lorsque le pare-feu lui-même redémarre de manière répétée car certaines informations de diagnostic volatiles peuvent être perdues.

Les organisations devraient également déterminer si les attaquants ont tenté d’autres activités avant ou après l’exploitation. Cisco caractérise actuellement la vulnérabilité comme une faille de déni de service, de sorte que les défenseurs devraient éviter d’interpréter automatiquement un crash d’appareil comme une preuve de compromission complète du pare-feu.

Cependant, un redémarrage inexpliqué d’un appareil de sécurité exposé à Internet justifie toujours une enquête, notamment lorsque l’exploitation a été confirmée dans la nature.

Atténuation de CVE-2026-76418

Cisco a publié des logiciels ASA et FTD corrigés et recommande fortement la mise à niveau car aucune mesure d’atténuation complète n’adresse la vulnérabilité sous-jacente.

Les premières versions corrigées de Cisco Secure Firewall ASA sont les suivantes :

Branche de publication ASA	Première version corrigée
9.16 et antérieures	9.16.4.104
9.18	9.18.4.96
9.20	9.20.4.50
9.22	9.22.3.200
9.23	9.23.1.48
9.24	9.24.1.27 / 9.24.10.1

Pour Secure FTD, Cisco répertorie :

Branche de publication FTD	Première version corrigée
7.0 et antérieures	7.0.11
7.2	7.2.13
7.4	7.4.9
7.6	7.6.7
7.7	7.7.14
10.0	10.0.3
10.1	10.1.1

Les organisations devraient utiliser le vérificateur de logiciels de Cisco et la documentation de compatibilité pour déterminer la version corrigée appropriée pour leur matériel spécifique et la branche logicielle actuellement installée.

Bien que Cisco n’énumère aucune solution de contournement qui adresse complètement la vulnérabilité, elle documente des atténuations temporaires de configuration impliquant l’authentification secondaire.

L’atténuation recommandée Atténuation de CVE-2026-76418 dépend de la façon dont les groupes de tunnels sont configurés.

Si DefaultWEBVPNGroup n’utilise pas l’authentification secondaire, les administrateurs peuvent désactiver la liste de groupes de tunnels en utilisant :

no tunnel-group-list enable

Cela empêche les utilisateurs de sélectionner un profil de connexion à partir d’une liste et les oblige plutôt à connaître le profil correct.

Si DefaultWEBVPNGroup utilise l’authentification secondaire, les administrateurs peuvent la supprimer en utilisant :

no secondary-authentication-server-group

Cependant, Cisco avertit que la suppression de l’authentification secondaire réduit la posture de sécurité de l’authentification VPN d’accès à distance. Les organisations devraient donc évaluer soigneusement cette mesure temporaire avant de la déployer.

Ces changements devraient être considérés comme des mesures temporaires de réduction des risques plutôt que des remplacements pour la mise à jour des correctifs.

Étant donné que l’exploitation se produit déjà, les organisations devraient prioriser les systèmes qui sont :

• Exposés à Internet
• Exécutant des versions vulnérables de ASA ou FTD
• Fournissant une connectivité VPN d’accès à distance SSL
• Utilisant l’authentification secondaire
• Soutenant une connectivité critique pour la main-d’œuvre à distance ou l’administration

Les équipes de sécurité devraient également vérifier si une architecture de haute disponibilité ou de basculement pourrait réduire la perturbation opérationnelle lors des mises à niveau.

Après avoir appliqué des mises à jour, confirmez la version logicielle en cours d’exécution et vérifiez que l’appareil est revenu avec succès en service.

Les administrateurs devraient examiner les journaux système couvrant la période avant la mise à jour pour les redémarrages inexpliqués ou d’autres indications d’exploitation.

Si une activité suspecte est identifiée, conservez les éléments pertinents :

• Journaux système ASA ou FTD
• Journaux VPN d’accès à distance
• Télémétrie d’authentification
• Historique de la configuration du pare-feu
• Données de flux réseau en amont
• Données de surveillance externe
• Journaux du fournisseur d’identité associés à l’authentification secondaire

Parce que Cisco a divulgué seulement un impact sur la disponibilité, les intervenants devraient distinguer les preuves confirmées de la spéculation. Un redémarrage inattendu de pare-feu ne constitue pas à lui seul une indication que un attaquant a obtenu des fichiers de configuration, des justificatifs ou une exécution de code.

Néanmoins, les organisations qui subissent des redémarrages inexpliqués devraient passer en revue les systèmes adjacents et l’activité d’authentification pour s’assurer que les attaquants n’ont pas simultanément tenté d’autres techniques.

Les administrateurs devraient également éviter de retarder les mises à niveau uniquement parce qu’aucun code exploit public n’est disponible. Une exploitation active a eu lieu avant la divulgation publique, démontrant qu’au moins un attaquant possédait déjà la capacité de déclencher le comportement vulnérable.

Avertissement : Le contenu de détection peut ne pas être disponible pour chaque CVE. Vérifiez sur la plateforme SOC Prime pour la couverture actuelle. Si les détections pertinentes ne sont pas encore disponibles, vérifiez à nouveau alors que de nouvelles informations sur les menaces et du contenu de détection sont continuellement ajoutés.