Cisco a publié le mercredi 28 octobre 2026 des correctifs pour CVE-2026-76418, une vulnérabilité de ses pare-feu ASA et Firepower Threat Defense (FTD) déjà exploitée par des attaquants. Elle permet, sans authentification, de provoquer le redémarrage de l’équipement à travers son service de VPN SSL. C’est la deuxième faille de ce type exploitée sur ces pare-feu depuis août.
Une faille qui coupe l’accès distant
D’après The Hacker News, la vulnérabilité reçoit un score CVSS de 8,6, soit une gravité élevée. Elle se loge dans le service de VPN SSL d’accès distant, celui qu’utilisent les salariés pour se connecter au réseau de l’entreprise depuis l’extérieur. Cisco l’attribue à des erreurs de logique lorsque l’authentification secondaire est configurée sur un groupe de tunnels.
Concrètement, un attaquant distant, sans identifiants, peut forcer l’appareil à redémarrer. Il ne s’agit pas d’une prise de contrôle, mais d’un déni de service : l’équipement est indisponible le temps qu’il recharge son logiciel. Selon SecurityWeek, Cisco précise qu’il n’est pas nécessaire de réussir une connexion VPN pour atteindre le code vulnérable.
Qui est exposé
Trois conditions doivent être réunies, selon l’éditeur : une version non corrigée, un service de connexion VPN SSL accessible, et une authentification secondaire active dans un groupe de tunnels concerné. Cisco souligne un piège : si l’option de liste de groupes de tunnels est activée, il faut examiner chaque groupe, y compris le groupe par défaut DefaultWEBVPNGroup. Désactiver la liste ne supprime pas le risque si ce groupe par défaut utilise lui-même l’authentification secondaire.
L’enjeu est large. BleepingComputer rapporte que l’organisation Shadowserver suit plus de 51 000 pare-feu Cisco ASA dont le VPN SSL est exposé sur Internet, sans préciser combien sont déjà corrigés. Selon SecurityWeek, l’offre cloud Secure Access et la console Secure Firewall Management Center ne sont pas concernées.
Les versions à installer
The Hacker News détaille les versions corrigées. Pour ASA :
- 9.16 et antérieures : 9.16.4.104 ;
- 9.18 : 9.18.4.96 ; 9.20 : 9.20.4.50 ; 9.22 : 9.22.3.200 ;
- 9.23 : 9.23.1.48 ; 9.24 : 9.24.1.27 ou 9.24.10.1.
Pour FTD :
- 7.0 et antérieures : 7.0.11 ; 7.2 : 7.2.13 ; 7.4 : 7.4.9 ;
- 7.6 : 7.6.7 ; 7.7 : 7.7.14 ; 10.0 : 10.0.3 ; 10.1 : 10.1.1.
Cisco indique avoir eu connaissance d’une exploitation active en octobre 2026, sans dire depuis quand les attaques durent, qui les mène ni à quelle échelle. SecurityWeek rappelle qu’en août, Cisco avait déjà corrigé CVE-2026-20349, une autre faille exploitée qui faisait redémarrer les mêmes équipements via le VPN SSL. Rien ne permet de dire si le même groupe est derrière les deux campagnes.
Que faire si l’on ne peut pas mettre à jour tout de suite
Aucun contournement ne règle entièrement le problème. Selon la configuration, deux mesures réduisent l’exposition : désactiver la liste de groupes de tunnels si le groupe par défaut n’utilise pas l’authentification secondaire, ou retirer cette authentification secondaire des groupes concernés. Cisco avertit toutefois que la seconde option affaiblit la sécurité du VPN, puisque l’authentification secondaire sert justement à renforcer les connexions. La recommandation reste la mise à jour.
Pour une PME qui dépend de son VPN pour le télétravail, une coupure répétée du pare-feu peut paralyser l’activité. Le bon réflexe consiste à vérifier dès maintenant la version installée et la configuration des groupes de tunnels, puis à planifier la mise à jour en priorité.
Questions fréquentes
Cette faille permet-elle de voler des données ?
Non, d’après les informations publiées : elle provoque un redémarrage de l’appareil, donc une interruption de service. Une interruption d’un pare-feu qui porte le VPN de l’entreprise reste un risque sérieux pour la continuité d’activité.
Mon pare-feu est-il concerné si je n’utilise pas d’authentification secondaire ?
Selon Cisco, l’authentification secondaire dans un groupe de tunnels fait partie des conditions d’exposition. Il faut néanmoins vérifier tous les groupes, y compris le groupe par défaut.
Existe-t-il un contournement complet ?
Non. Les mesures proposées réduisent l’exposition mais affaiblissent la sécurité du VPN ; Cisco recommande d’installer une version corrigée.
Sources
- New Cisco firewall zero-day exploited to crash SSL VPN devices — BleepingComputer, 2026-10-29
- Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls — The Hacker News, 2026-10-29
- Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August — SecurityWeek, 2026-10-29