Cisco ASA et FTD : une faille VPN exploitée, que faire

Cisco a publié le 28 octobre 2026 un bulletin de sécurité sur une faille de ses pare-feu Cisco Secure Firewall ASA et FTD, déjà exploitée par des attaquants. Référencée CVE-2026-76418, elle touche le service de VPN SSL d'accès distant et permet à un attaquant non authentifié de faire redémarrer l'équipement à distance, provoquant un déni de service. L'agence américaine CISA l'a ajoutée dès le 29 octobre à son catalogue des vulnérabilités exploitées (KEV).

Une faille de déni de service sur le VPN SSL

Selon Cisco, la vulnérabilité provient d'« erreurs de logique » lorsque l'authentification secondaire est configurée sur un tunnel group, c'est-à-dire un profil de connexion VPN. Un attaquant peut l'exploiter en envoyant une requête spécialement conçue au moment de la connexion au VPN SSL. Point important : il n'a pas besoin de réussir à se connecter, ni de disposer d'identifiants. Le pare-feu redémarre alors de manière inattendue.

Cisco lui attribue un score CVSS 3.1 de 8,6 (gravité élevée). Le bulletin ne décrit qu'un impact sur la disponibilité, mais faire tomber le pare-feu d'un site coupe l'accès distant des salariés et, selon l'architecture, une partie de la connectivité. Cisco indique avoir pris connaissance d'une exploitation active en octobre 2026, sans détailler les attaquants ni les cibles. La faille a été découverte lors d'un dossier de support technique (TAC).

Êtes-vous concerné ?

Trois conditions doivent être réunies : une version d'ASA ou de FTD vulnérable, un service de connexion VPN SSL d'accès distant joignable, et une authentification secondaire configurée sur un profil exposé. Le VPN SSL est actif si la configuration contient le mot-clé webvpn avec une interface activée (enable <nom_interface>).

Le bulletin détaille la vérification :

• si tunnel-group-list enable est configuré, il faut contrôler chaque tunnel group, y compris DefaultWEBVPNGroup, à la recherche de la commande secondary-authentication-server-group ;
• sinon, seul DefaultWEBVPNGroup est à examiner. Désactiver la liste des groupes ne supprime pas l'exposition si le groupe par défaut utilise l'authentification secondaire.

Sur FTD, la vérification passe par la politique VPN d'accès distant déployée depuis FMC ou FDM. Les services Cloud-delivered Firewall, cdFMC, Secure Access et Secure FMC ne sont pas touchés.

Les versions corrigées

Cisco ne propose pas de contournement complet et recommande la mise à jour. Les premières versions corrigées sont :

• ASA : 9.16.4.104 (pour la 9.16 et les versions antérieures), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, ainsi que 9.24.1.27 et 9.24.10.1 pour la 9.24 ;
• FTD : 7.0.11 (pour la 7.0 et antérieures), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1.

Une parade en attendant

En attendant la mise à jour, Cisco décrit une mesure d'atténuation : désactiver l'authentification secondaire là où elle est exposée. Si le groupe par défaut ne l'utilise pas, la commande no tunnel-group-list enable suffit, mais les utilisateurs devront alors connaître le nom exact de leur profil de connexion. Si le groupe par défaut l'utilise, il faut retirer secondary-authentication-server-group, ce qui affaiblit la sécurité de l'accès VPN. Cisco invite à évaluer ces mesures dans son propre environnement avant de les appliquer.

Les passerelles VPN restent une cible de choix, comme l'ont montré récemment les failles d'Ivanti Connect Secure ajoutées au catalogue KEV. Cisco avait déjà dû corriger mi-octobre une faille critique exploitée sur Secure Email Gateway.