CVE-2026-76418 позволяет обрушить файрвол Cisco без авторизации
Cisco выпустила обновления для уязвимости после того, как её команда реагирования обнаружила эксплуатацию в октябре.
Ошибка затрагивает ASA и FTD с настроенным SSL VPN и может нарушить доступность сервиса; подтверждённых случаев кражи данных или выполнения кода компания не сообщала.
Проблема получила обозначение CVE-2026-76418 и оценку 8,6 балла по шкале CVSS. Она затрагивает программное обеспечение Secure Firewall Adaptive Security Appliance (ASA) и Secure Firewall Threat Defense (FTD). Cisco опубликовала предупреждение 28 октября 2026 года, а её команда реагирования на инциденты узнала об эксплуатации уязвимости в течение октября. Ошибку обнаружил Эрик Фернальд при разборе обращения в службу технической поддержки компании.
Причина сбоя связана с логикой службы удалённого доступа SSL VPN при настроенной дополнительной аутентификации в группе подключений. Атакующий может отправить специально подготовленный запрос во время подключения. Если устройство уязвимо, оно неожиданно перезагрузится, что приведёт к отказу в обслуживании. Для атаки не требуется успешно пройти авторизацию, однако одного лишь наличия ASA или FTD недостаточно.
Для проверки конфигурации администраторам нужно убедиться, что SSL VPN доступен на интерфейсе и в настройках присутствует webvpn, а затем проверить группы подключений на параметр secondary-authentication-server-group. Если включён список групп, проверка должна охватывать все группы, включая DefaultWEBVPNGroup, а не только те, что показаны на странице входа. Отключение списка само по себе не устраняет уязвимость, когда дополнительная аутентификация остаётся в группе по умолчанию.
Cisco рекомендует установить исправленную версию для своей ветки ASA или FTD и предлагает проверить доступные обновления через Software Checker. Полноценного обходного решения компания не указала. В качестве временной меры можно отключить дополнительную аутентификацию в затронутых группах, но это снизит защищённость VPN. При отдельных настройках помогает отключение списка групп, если в группе по умолчанию дополнительная аутентификация не используется.
По данным платформы мониторинга Shadowserver, в интернете доступны более 51 000 устройств Cisco ASA с SSL VPN. Это число нельзя считать количеством уязвимых файрволов: платформа не уточняет, сколько из них уже обновлены и сколько представляют собой ловушки для отслеживания атак. Cisco также не раскрыла, кто эксплуатирует CVE-2026-76418 и какие организации стали целями.
Другие уязвимости файрволов Cisco
В августе 2026 года Cisco исправила другую уязвимость отказа в обслуживании, CVE-2026-20349. Её тоже использовали в атаках для вывода из строя устройств с ASA и FTD, но тогда условием были включённые сокеты прослушивания SSL. Нынешняя CVE-2026-76418 связана с настройкой дополнительной аутентификации в группе подключений.
В сентябре 2025 года компания закрыла ещё две уязвимости ASA и FTD, CVE-2025-20362 и CVE-2025-20333. По предупреждению Cisco, их эксплуатировали в атаках на устройства серии 5500-X с включёнными веб-сервисами VPN. В тот же день американское Агентство по кибербезопасности и защите инфраструктуры CISA выпустило экстренное предписание: федеральным ведомствам дали 24 часа на защиту файрволов Cisco.
Cisco связывала те атаки с кампанией ArcaneDoor. В её рамках злоумышленники также применяли CVE-2024-20353 и CVE-2024-20359 для проникновения в сети государственных организаций начиная с ноября 2023 года. Отдельно в октябре 2026 года компания предупредила об активно эксплуатируемой уязвимости CVE-2026-76519 в защитном решении Secure Email Gateway: она позволяет удалённо выполнять команды с правами root без авторизации. Связи этих атак с эксплуатацией CVE-2026-76418 Cisco не заявляла.
