Хакеры уже используют новую уязвимость в межсетевых экранах Cisco, чтобы удалённо перезагружать устройства и обрывать сетевые подключения. Для атаки не нужны учётные данные или успешный вход в VPN. Производитель выпустил исправления и подтвердил реальные случаи эксплуатации.
Проблема получила идентификатор CVE-2026-76418 и оценку 8,6 балла по шкале CVSS. Ошибка затрагивает службу удалённого доступа SSL VPN в Cisco Secure Firewall Adaptive Security Appliance (ASA) и Secure Firewall Threat Defense (FTD). Специально сформированный запрос может вызвать неожиданную перезагрузку устройства и отказ в обслуживании (DoS).
Уязвимость связана с логическими ошибками при обработке подключений, когда для группы VPN-туннелей настроена дополнительная аутентификация. Достаточно, чтобы служба входа SSL VPN была доступна извне, а устройство работало под управлением уязвимой версии ПО. Успешно пройти проверку учётных данных злоумышленнику не требуется.
Администраторам нужно проверить, включён ли SSL VPN на сетевом интерфейсе, а затем изучить группы туннелей на наличие параметра secondary-authentication-server-group. Cisco рекомендует проверять не только профили, показанные пользователям на странице входа, но и стандартную группу DefaultWEBVPNGroup. Скрытый список профилей сам по себе угрозу не устраняет.
В качестве временной меры Cisco допускает отключение списка групп туннелей, если стандартная группа не использует дополнительную аутентификацию. Если же она настроена в DefaultWEBVPNGroup, можно отключить саму дополнительную проверку. Последний вариант ослабляет защиту удалённого доступа, поэтому компания советует оценить последствия перед изменением настроек.
Для ASA исправления доступны в выпусках 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 и 9.24.1.27. Для FTD исправленные версии включают 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1. Подобрать подходящее обновление для конкретной установленной версии помогает фирменный Cisco Software Checker.
В опубликованном 28 октября бюллетене Cisco указала, что её группа реагирования узнала об активной эксплуатации уязвимости в октябре 2026 года. Подробностей об атакующих, числе пострадавших организаций и масштабах сбоев компания не раскрыла. Ошибку обнаружил Эрик Фернальд во время разбора обращения в техническую поддержку Cisco.
Уязвимость не затрагивает Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access и Secure FMC. При этом для затронутых устройств производитель рекомендует не ограничиваться временными мерами, а установить исправленное ПО. В августе SecurityLab уже рассказывал о другой уязвимости, позволявшей перезагружать Cisco ASA и FTD без авторизации.