Уязвимость VPN Cisco позволяет удалённо перезагружать межсетевые экраны

Cisco сообщила об активной эксплуатации уязвимости CVE-2026-76418 в ПО Cisco Secure Firewall Adaptive Security Appliance (ASA) и Threat Defense (FTD). Проблема затрагивает службу удалённого доступа Remote Access SSL VPN. Ей присвоен высокий уровень серьёзности и оценка CVSS 8,6.

Удалённый злоумышленник без учётной записи может отправить специально сформированный запрос при подключении к SSL VPN. Ошибка связана с логикой обработки запросов, когда для группы туннелей настроена вторичная аутентификация. Если атака удаётся, устройство неожиданно перезагружается, что приводит к отказу в обслуживании. Успешно войти в VPN для атаки не требуется.
Cisco узнала об эксплуатации в октябре 2026 года. В опубликованном в среду уведомлении компания не указала, когда начались атаки, кто за ними стоит и сколько устройств или организаций затронуто. Календарная дата уведомления в имеющихся сведениях не приводится.
Для ASA исправления перечислены по веткам: для версии 9.16 и более ранних — 9.16.4.104; для 9.18 — 9.18.4.96; для 9.20 — 9.20.4.50; для 9.22 — 9.22.3.200; для 9.23 — 9.23.1.48; для 9.24 — 9.24.1.27 и 9.24.10.1.
Для Cisco Secure FTD указаны версии 7.0.11 для ветки 7.0 и более ранних, 7.2.13 для 7.2, 7.4.9 для 7.4, 7.6.7 для 7.6, 7.7.14 для 7.7 и 10.0.3 для 10.0. Для ветки 10.1 сведения об исправлении обрываются на «10.1.»: номер версии не приведён.
Риск зависит от доступности SSL VPN и наличия вторичной аутентификации у группы туннелей. Если включена команда tunnel-group-list enable, нужно проверить параметр secondary-authentication-server-group во всех группах, включая стандартную DefaultWEBVPNGroup. Если список групп отключён или команда удалена с помощью no tunnel-group-list enable, проверить всё равно нужно DefaultWEBVPNGroup: отключение списка само по себе не устраняет уязвимость, если в этой группе настроена вторичная аутентификация.
В Cisco Secure FTD следует проверить политику удалённого доступа VPN и соответствующую конфигурацию работающего устройства через Cisco Secure FMC Software или Cisco Secure FDM. До установки исправления Cisco рекомендует отключить список групп туннелей, если DefaultWEBVPNGroup не использует вторичную аутентификацию. Другой временный вариант — отключить вторичную аутентификацию в пользовательских группах туннелей или в DefaultWEBVPNGroup.
Отдельно Cisco описала расследование, не связанное с CVE-2026-76418. Группа UAT-11473, которую компания характеризует как опытного APT-актора, эксплуатировала уязвимость CVE-2026-20127 для обхода аутентификации в Cisco SD-WAN Catalyst Controller и получения несанкционированного доступа. Среди целей были организации в сферах космических и спутниковых услуг, оборонных и аэрокосмических технологий, а также исследовательские центры, занимающиеся политикой. Инфраструктура этой активности, по оценке Cisco, имеет пересечения с секретной сетью Volt Typhoon под названием Silent Train.
По данным Cisco Talos, UAT-11473 установила собственную вредоносную платформу KeyDrift, включающую компоненты PolyFlame и LittleFilch. Её применяли для сбора чувствительной ключевой информации, организации бэкдоров и промежуточных узлов управления и контроля (C2), а также для длительного скрытого доступа. Платформа могла работать внутри процессов плоскости управления SD-WAN, перехватывать расшифрованный управляющий трафик, извлекать метаданные управляющих сессий и ключевой материал плоскости передачи данных. Собранные сведения автоматизированно подготавливались к выносу или передавались в зашифрованных записях.