Стежити Cisco випустила оновлення безпеки для CVE-2026-76418, серйозної вразливості нульового дня, яка впливає на сервіс віддаленого доступу SSL VPN в Cisco Secure Firewall Adaptive Security Appliance (ASA) та програмне забезпечення Secure Firewall Threat Defense (FTD). Уразливість активно експлуатується у дикій природі і може дозволити неаутентифікованому віддаленому зловмиснику змусити вразливий брандмауер перезавантажитися, що спричиняє відмову в обслуговуванні (DoS) і порушує віддалений доступ.
Cisco присвоїла уразливості оцінку CVSS 3.1 у 8.6. Недолік не вимагає аутентифікації чи взаємодії з користувачем і має низьку складність атаки. Основне наслідком безпеки є втрата доступності, а не порушення конфіденційності чи цілісності. Cisco не пов’язала уразливість з виконанням віддаленого коду чи підтвердженим викраденням даних.
Ця уразливість особливо важлива, оскільки пристрої пограничної безпеки та шлюзи VPN часто безпосередньо підключені до Інтернету та забезпечують критичний доступ до корпоративних середовищ. Повторна експлуатація може змусити постраждалі пристрої перезавантажитися і перервати з’єднання VPN для віддалених співробітників і адміністраторів.
Cisco розкрила уразливість 28 жовтня 2026 року після того, як її команда реагування на інциденти безпеки продуктів (PSIRT) дізналася про активну експлуатацію у жовтні. Проблему спочатку виявив Ерік Фернальд під час вирішення звернення до Центру технічної допомоги Cisco.
Для виявлення CVE-2026-76418 команди безпеки повинні пріоритетно моніторити пристрої Cisco ASA і FTD, що дивляться в Інтернет, на очікувані перезавантаження, повторні спроби з’єднання SSL VPN, ненормальну діяльність аутентифікації та порушення доступності, що впливають на сервіси віддаленого доступу.
AI-Native Detection Intelligence Platform від SOC Prime надає можливість командам безпеки покращити видимість у використання уразливостей і підозрілу поведінку через SIEM, EDR, брандмауер, мережу та телеметрію ідентичності.
Натисніть Дослідити виявлення для доступу до відповідного контенту виявлення та логіки пошуку загроз. Щоб виявити CVE-2026-76418, захисникам слід об’єднати оцінку конфігурації брандмауера з телеметрією VPN, подіями перезавантаження пристроїв, мережевою активністю та журналами аутентифікації, щоб виявити спроби експлуатації та підтвердити експозицію.
Зв’язатися з відділом продажів
Аналіз CVE-2026-76418
Уразливість існує у функціоналі віддаленого доступу SSL VPN програмного забезпечення Cisco Secure Firewall ASA та Secure FTD.
Згідно з Cisco, першопричиною є логічні помилки, які виникають при налаштуванні вторинної аутентифікації на групі тунелю. Неаутентифікований зловмисник може надіслати спеціально створений запит, підключаючись до служби SSL VPN віддаленого доступу, та спричинити несподіване перезавантаження пристрою.
Важливо, що успішна аутентифікація VPN не потрібна для досягнення вразливої обробної гілки. Це значно збільшує потенційну площу атаки, оскільки зловмиснику потрібно лише мережевий доступ до відкритої служби SSL VPN, а не дійсні облікові дані VPN.
Деталі для CVE-2026-76418 вказують, що три основні умови повинні бути присутніми, щоб пристрій був підданий впливу:
- Брандмауер повинен запускати вразливе видання Cisco Secure Firewall ASA або FTD.
- Служба входу SSL Remote Access VPN повинна бути доступною.
- Вторинна аутентифікація повинна бути налаштована в ураженій групі тунелю.
Cisco рекомендує адміністраторам спочатку визначити, чи увімкнена функція SSL VPN. На системах ASA конфігурації, що містять webvpn з увімкненим SSL VPN на інтерфейсі, вимагають додаткового огляду. Адміністратори FTD повинні перевірити розгорнуту конфігурацію VPN віддаленого доступу через Центр управління безпекою брандмауера або диспетчер пристроїв.
Адміністратори повинні потім перевірити групи тунелів на:
групу серверів вторинної аутентифікації
Коли включено конфігурацію tunnel-group-list enable, кожна група тунелів повинна бути перевірена, включаючи DefaultWEBVPNGroup. Cisco спеціально попереджає, що перевірка лише профілів з’єднання, які відображаються на сторінці входу VPN, є недостатньою.
Видалення або вимкнення списку tunnel-group автоматично не усуває експозицію. Якщо DefaultWEBVPNGroup все ще використовує вторинну аутентифікацію, вразливий шлях залишається доступним.
CVE-2026-76418 впливає на розгортання Cisco Secure Firewall ASA та Secure FTD, які відповідають цим умовам конфігурації і запускають вразливі видання програмного забезпечення.
Cisco підтвердила, що наступні продукти не піддаються впливу:
- Хмарний брандмауер
- Центр управління хмарним брандмауером
- Cisco Secure Access
- Secure Firewall Management Center Software
Ця уразливість класифікується як CWE-690, яка стосується неперевіреного значення повернення, що призводить до нульового вказівника. Вектор CVSS Cisco відображає мережеву доступність, низьку складність атаки, відсутність необхідних привілеїв, відсутність взаємодії з користувачем та високий вплив на доступність.
Успішна атака не надає зловмиснику адміністративного доступу до брандмауера на основі наразі розкритої інформації. Натомість пристрій перезавантажується несподівано, перериваючи його доступність.
Залежно від мережевої архітектури, повторна експлуатація може мати ширші операційні наслідки. Уражений брандмауер може надавати віддалений підключення для співробітників, адміністраторів, партнерів або зовнішніх сервісів. Перериваючи той шлюз, це може впливати на бізнес-операції навіть без компрометації даних.
Cisco підтвердила, що атаки, експлуатуючі уразливість, відбулися в жовтні 2026 року, але не виявила відповідальних акторів загроз або не розкрила інформацію про жертв. CybersecurityNews також не повідомляє про підтверджений зв’язок з викраденням даних або виконанням віддаленого коду.
Проблему також слід відрізняти від інших нещодавно розкритих уразливостей брандмауера Cisco. Вона відділена від раніше повідомлених уразливостей, які стосуються інфраструктури Cisco ASA і VPN, з іншими технічними причинами та шляхами експлуатації.
На момент написання ні поради Cisco, ні надані звіти не містять публічного PoC CVE-2026-76418, який містить відтворюваний код експлуатації. Відсутність публічного доказу концепції не зменшує терміновості виправлення, оскільки Cisco вже підтвердила експлуатацію в реальному світі.
Cisco також не опублікувала специфічні для кампанії IOCs CVE-2026-76418, такі як IP-адреси нападників, домени, хеші корисного навантаження або названу інфраструктуру загрози.
Це означає, що захисники повинні пріоритетизувати полювання на основі поведінки та конфігурації, а не спиратися виключно на статичні індикатори.
Потенційні пункти розслідування включають:
- Несподівані перезавантаження ASA або FTD без адміністративного або технічного пояснення
- Повторні з'єднання з публічною службою SSL VPN безпосередньо перед перезавантаженням
- Кластери аномальних запитів VPN віддаленого доступу з зовнішньої інфраструктури
- Повторні порушення доступності, що впливають на шлюз VPN
- Час роботи брандмауера несподівано скидається
- Незвичайна активність аутентифікації навколо перезапусків пристроїв
- Повторні з'єднання з одних і тих же або пов'язаних діапазонів IP перед перериванням служби
- Кілька нез'ясовних перезавантажень пристроїв за короткий період
Команди також повинні корелювати події брандмауера з телеметрією мережі вгору за потоком. Балансувальники навантаження, пограничні маршрутизатори, системи захисту від DDoS атак, платформи IDS/IPS або зовнішні інструменти моніторингу можуть зберігати докази з'єднань, які відбулися безпосередньо перед тим, як брандмауер став недоступним.
Збереження цієї телеметрії особливо важливо, коли сам брандмауер постійно перезавантажується, оскільки деяка volatile діагностична інформація може бути втрачена.
Організації повинні також визначити, чи зловмисники намагалися здійснити інші дії до або після експлуатації. Cisco наразі характеризує уразливість як недолік відмови в обслуговуванні, тому захисники повинні уникати автоматичного інтерпретування краху пристрою як доказу повного компрометації брандмауера.
Однак нез'ясовне перезавантаження пристрою безпеки, що дивиться в Інтернет, все ж вимагає розслідування, особливо коли експлуатацію підтверджено в дикій природі.
Пом'якшення CVE-2026-76418
Cisco випустила фіксоване програмне забезпечення ASA та FTD і настійно рекомендує оновлення, оскільки жодне повне обхідне рішення не усуває основну уразливість.
Перші випуски Cisco Secure Firewall ASA з виправленням:
| Вітка випусків ASA | Перше виправлення |
| 9.16 та раніше | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Для Secure FTD Cisco надає:
| Вітка випусків FTD | Перше виправлення |
| 7.0 та раніше | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Організації повинні використовувати Cisco’s Software Checker і документацію з сумісності, щоб визначити правильний випуск з виправленнями для їхнього конкретного обладнання та наразі встановленої гілки програмного забезпечення.
Хоча Cisco не надає обхідного рішення, яке повністю усуває уразливість, вона документує тимчасові конфігураційні пом’якшувальні заходи, що включають вторинну аутентифікацію.
Рекомендоване пом’якшення CVE-2026-76418 залежить від того, як налаштовані групи тунелів.
Якщо DefaultWEBVPNGroup не використовує вторинну аутентифікацію, адміністратори можуть вимкнути список груп тунелів за допомогою:
no tunnel-group-list enable
Це запобігає користувачам вибирати профіль з’єднання зі списку і натомість вимагає від них знання правильного профілю.
Якщо DefaultWEBVPNGroup використовує вторинну аутентифікацію, адміністратори можуть видалити її за допомогою:
no secondary-authentication-server-group
Однак, Cisco попереджає, що видалення вторинної аутентифікації зменшує безпекову позицію автентифікації віддаленого доступу VPN. Тому організації повинні ретельно оцінити цей тимчасовий захід до впровадження.
Ці зміни слід розглядати як тимчасові заходи зі зменшення ризику, а не як заміну виправленням.
Оскільки експлуатація вже відбувається, організації повинні пріоритетизувати системи, які є:
- Дивляться в Інтернет
- Запускають вразливі випуски ASA або FTD
- Забезпечують з’єднання SSL Remote Access VPN
- Використовують вторинну аутентифікацію
- Підтримують критичне віддалене підключення працівників або адміністративне підключення
Команди безпеки повинні також перевірити, чи архітектура високої доступності або резервування може зменшити операційні порушення під час виконання оновлень.
Після застосування оновлень, переконайтеся в правильності версії програмного забезпечення, що працює, і перевірте, що пристрої успішно повернулися до роботи.
Адміністратори повинні переглянути журнали системи, що охоплюють період до виправлення, на предмет невідомих перезавантажень або інших вказівок на експлуатацію.
Якщо виявлено підозрілу активність, збережіть відповідне:
- Журнали системи ASA або FTD
- Журнали VPN віддаленого доступу
- Телеметрія аутентифікації
- Історія конфігурації брандмауера
- Дані мережевого потоку вгору за потоком
- Дані зовнішнього моніторингу
- Журнали постачальників ідентичності, пов’язані з вторинною аутентифікацією
Оскільки Cisco розголосило лише вплив на доступність, відповідачі повинні відрізняти підтверджені докази від спекуляцій. Несподіване перезавантаження брандмауера саме по собі не встановлює, що зловмисник отримав конфігураційні файли, облікові дані або виконання коду.
Тим не менш, організації, які зазнали нез’ясовних перезавантажень пристроїв, повинні переглянути суміжні системи та активність аутентифікації, щоб переконатися, що зловмисники не намагалися одночасно використовувати інші техніки.
Адміністратори також не повинні затримувати оновлення лише тому, що не доступний публічний код експлуатації. Активна експлуатація відбулася до публічного розкриття, що демонструє, що принаймні один нападник уже володів здатністю викликати вразливу поведінку.
Відмова від відповідальності: Контент виявлення може бути недоступним для кожного CVE. Перевірте платформу SOC Prime для актуального покриття. Якщо відповідні виявлення ще не доступні, перевірте знову, оскільки нова інформація про загрози та контент виявлення постійно додаються.
FAQ
Що таке CVE-2026-76418 і як вона працює?
CVE-2026-76418 є серйозною уразливістю відмови в обслуговуванні у функціоналі віддаленого доступу SSL VPN програмного забезпечення Cisco Secure Firewall ASA та Secure FTD. Уразливість виникає через логічні помилки, що активуються при налаштуванні вторинної аутентифікації на ураженій групі тунелів. Неаутентифікований віддалений зловмисник може надіслати сформульований запит до служби SSL VPN та змусити брандмауер несподівано перезавантажитись. Успішний вхід до VPN не потрібен, щоб дістатися до вразливої обробної гілки.
Коли вперше було вивчено CVE-2026-76418?
Cisco публічно розкрила уразливість 28 жовтня 2026 року. Питання було виявлено Ерікем Фернальдом під час вирішення заявки до Центру технічної допомоги Cisco. Cisco PSIRT дізналася в жовтні 2026 року про те, що зловмисники вже експлуатували уразливість у реальних середовищах.
Який вплив має CVE-2026-76418 на системи?
Успішна експлуатація може несподівано змусити уражений пристрій Cisco ASA або FTD перезавантажитися, що спричиняє ств. адміністраторську користувачих пристроїв або інших сервісів. Переривання цього шлюзу може зачіпати бізнес-операції навіть без компрометації даних.
Чи може CVE-2026-76418 ще вплинути на мене у 2026 році?
Так. Уразливість активно експлуатується і залишається ризиком для організацій, які запускають вразливі версії Cisco ASA або FTD, де служба SSL Remote Access VPN доступна, і вторинна аутентифікація налаштована в ураженій групі тунелів. Системи, оновлені до виправлених випусків програмного забезпечення Cisco, захищені від уразливості, описаної в пораднику.
Як я можу захиститися від CVE-2026-76418?
Оновіть програмне забезпечення Cisco Secure Firewall ASA або FTD до відповідного виправленого випуску, переліченого в пораднику з безпеки Cisco. Адміністратори також повинні перевірити, чи увімкнено SSL VPN віддаленого доступу, перевірити всі відповідні групи тунелів на наявність вторинної аутентифікації та переглянути конфігурацію DefaultWEBVPNGroup. У випадках, коли негайне виправлення неможливе, Cisco надає тимчасові варіанти послаблення ризику, які включають вимкнення списку груп тунелів або видалення вторинної аутентифікації. Оскільки ці зміни можуть впливати на функціональність або зменшувати безпеку аутентифікації, іх слід ретельно оцінити та використовувати лише до того, як уражений пристрій буде оновлено.
