Cisco закрыла эксплуатируемую уязвимость нулевого дня в межсетевых экранах ASA и FTD

Cisco выпустила обновления безопасности, устраняющие уязвимость нулевого дня в программном обеспечении Adaptive Security Appliance (ASA) и Firepower Threat Defense (FTD). Злоумышленники уже используют её, чтобы удалённо выводить межсетевые экраны из строя.

Суть уязвимости

Ошибка отслеживается под идентификатором CVE-2026-76418 и оценена как опасная (high severity). Ей подвержены устройства на ASA и FTD, в конфигурации которых присутствует ключевое слово webvpn, а SSL VPN включён хотя бы на одном интерфейсе.

По словам Cisco, причина — логические ошибки, возникающие при настройке вторичной аутентификации в туннельной группе. Атакующий может отправить специально сформированный запрос при подключении к SSL VPN удалённого доступа. В результате устройство неожиданно перезагружается, то есть возникает отказ в обслуживании (DoS). Аутентификация для этого не требуется.

Атаки и рекомендации

Группа реагирования на инциденты безопасности Cisco (PSIRT) обнаружила признаки эксплуатации уязвимости в реальных атаках в октябре 2026 года. Компания настоятельно рекомендует перейти на исправленные версии ПО. Индикаторов компрометации она не опубликовала и не сообщила, кто стоит за атаками и какие организации стали их целью.

Обходных решений Cisco официально не предлагает. Тем не менее администраторы, которые не могут сразу установить патч, способны снизить риск, отключив вторичную аутентификацию в туннельной группе по умолчанию DefaultWEBVPNGroup и во всех туннельных группах, созданных пользователями.

По данным платформы мониторинга Shadowserver, в интернете доступно более 51 тыс. устройств Cisco ASA с SSL VPN. Сколько из них уже защищено, а сколько являются ловушками-приманками (honeypots), неизвестно.

Не первый случай

В сентябре прошлого года Cisco исправила две уязвимости в ASA и FTD (CVE-2025-20362 и CVE-2025-20333), которые эксплуатировались в атаках нулевого дня на устройства серии 5500-X с включёнными веб-сервисами VPN. В тот же день Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило экстренную директиву 25-03, обязав федеральные ведомства защитить межсетевые экраны Cisco в течение 24 часов. Cisco связала эти атаки с кампанией ArcaneDoor, участники которой с ноября 2023 года использовали ещё две уязвимости нулевого дня (CVE-2024-20353 и CVE-2024-20359) для проникновения в правительственные сети.

В августе компания устранила ещё одну эксплуатируемую DoS-уязвимость нулевого дня (CVE-2026-20349) в ASA и FTD с включёнными SSL-сокетами. А ранее в этом месяце Cisco предупредила об активно эксплуатируемой уязвимости CVE-2026-76519 в Secure Email Gateway, позволяющей без аутентификации удалённо выполнять команды с правами root.

С ноября 2021 года CISA отметила 101 уязвимость в продуктах Cisco как эксплуатируемую в реальных атаках. Семь из них использовались и группировками вымогателей.

Источник: Bleeping Computer