Cisco ASA et FTD : la faille CVE-2026-76418 déjà exploitée

CVE-2026-76418 est une faille notée 8.6 sur 10 à l'échelle CVSS qui touche le service VPN SSL d'accès distant des pare-feu Cisco Secure Firewall ASA et Secure FTD : elle permet à un attaquant distant et non authentifié de provoquer le redémarrage de l'équipement. Cisco a confirmé en octobre 2026 l'exploitation active de CVE-2026-76418 selon la couverture de The Hacker News, ce qui coupe l'accès distant de toute l'organisation touchée.

Qu'est-ce que la faille CVE-2026-76418 ?

La vulnérabilité provient d'une erreur de logique dans le traitement de l'authentification secondaire (par exemple un second facteur ou un serveur RADIUS additionnel) lorsqu'elle est configurée au niveau d'un groupe de tunnels VPN. En envoyant une requête spécialement construite au service de connexion du VPN SSL d'accès distant, un attaquant distant et non authentifié peut provoquer le rechargement de l'appareil, entraînant un déni de service complet du pare-feu, pas seulement du service VPN.

Trois conditions doivent être réunies pour qu'un boîtier soit exposé : il doit exécuter une version vulnérable, le service de connexion VPN SSL d'accès distant doit être accessible depuis le réseau de l'attaquant, et une authentification secondaire doit être configurée sur le groupe de tunnels visé, y compris potentiellement le groupe par défaut DefaultWEBVPNGroup.

À retenir : aucune authentification n'est nécessaire pour déclencher la faille ; c'est la simple présence d'une authentification secondaire sur un groupe de tunnels qui crée l'exposition, pas une mauvaise configuration exotique.

Produits et versions concernés

Le Secure Firewall Management Center (FMC), qui sert à administrer ces équipements, n'est pas concerné par cette faille précise.

Comment se protéger ?

1. Mettez à jour vers l'une des versions corrigées listées ci-dessus, en priorisant les boîtiers exposant leur service VPN SSL d'accès distant sur Internet.
2. Si la mise à jour immédiate n'est pas possible, vérifiez chaque groupe de tunnels, y compris DefaultWEBVPNGroup, à la recherche de la commande secondary-authentication-server-group.
3. Désactivez l'authentification secondaire sur les groupes concernés quand c'est opérationnellement acceptable, ou retirez la liste de groupes de tunnels si DefaultWEBVPNGroup ne l'utilise pas lui-même.
4. Sur FTD, relisez la politique d'accès distant déployée et la configuration réellement appliquée dans FMC ou FDM : une politique modifiée récemment peut avoir réintroduit l'authentification secondaire sans que l'opérateur s'en rende compte.
5. Surveillez les rechargements inattendus des équipements : un boîtier qui redémarre sans raison planifiée, en particulier en dehors d'une fenêtre de maintenance, doit déclencher une vérification immédiate des journaux VPN.

Aucun contournement ne supprime totalement le risque sans toucher à la configuration de l'authentification secondaire : il s'agit d'une mesure temporaire, pas d'un substitut au correctif.

Cette faille s'ajoute à une série déjà longue de vulnérabilités critiques touchant les équipements d'accès distant Cisco cette année, après notamment la faille d'authentification CVE-2026-20127 du contrôleur SD-WAN exploitée pour déployer le malware KeyDrift, ou la faille de Cisco Secure Email Gateway (CVE-2026-76519). Pour comprendre ce que signifie réellement un score de 8.6, notre guide pour comprendre le score CVSS détaille la méthode de calcul et aide à prioriser un correctif par rapport à un autre. L'outil ForenShield de consultation de la base CVE permet de retrouver rapidement les avis liés à vos équipements réseau.

L'avis du CSIRT

Priorisez selon l'exposition réelle, pas selon la criticité affichée du pare-feu : un boîtier ASA ou FTD dont le service VPN SSL d'accès distant est joignable depuis Internet doit être traité aujourd'hui, même s'il ne protège qu'un site secondaire. Un équipement dont l'accès VPN n'est ouvert qu'à des plages d'adresses internes ou à un fournisseur d'accès distant via liaison dédiée peut être planifié dans un cycle de maintenance normal, à condition de vérifier que cette restriction est bien appliquée au niveau réseau et pas seulement supposée.

Côté détection, un déni de service ne laisse pas toujours de trace applicative exploitable : cherchez des rechargements non planifiés dans les journaux système des équipements, des pics de requêtes HTTP vers le service de connexion VPN juste avant un redémarrage, et des alertes de supervision réseau sur la perte de disponibilité du tunnel VPN. L'absence d'alerte de votre solution de sécurité périmétrique ne signifie pas l'absence de tentative : ce type de faille DoS ne génère généralement pas de signature connue avant plusieurs jours.

Le piège classique sur cette catégorie de vulnérabilité : se concentrer sur la mise à jour du firmware et oublier de vérifier que l'authentification secondaire n'a pas été reconfigurée par un script d'automatisation ou une synchronisation de politique après le correctif. Après la mise à jour, revalidez la configuration exportée des groupes de tunnels et conservez-en une copie de référence pour détecter toute dérive future.

Points clés

CVE-2026-76418 est une faille à 8.6 sur 10 qui permet à un attaquant non authentifié de provoquer le redémarrage d'un pare-feu Cisco ASA ou FTD dont le VPN SSL d'accès distant utilise une authentification secondaire sur un groupe de tunnels. Cisco a confirmé une exploitation active en octobre 2026 et publié des versions corrigées pour l'ensemble des branches ASA et FTD actuellement maintenues. En attendant la mise à jour, vérifier et, si possible, désactiver temporairement l'authentification secondaire sur les groupes de tunnels, y compris le groupe par défaut, réduit l'exposition sans supprimer totalement le risque.