Cisco закрыла CVE-2026-76418 (CVSS 8,6), уязвимость Cisco ASA VPN и FTD, которую уже применяют в реальных атаках: один запрос при подключении к SSL VPN перезагружает межсетевой экран, и логин для этого не нужен. С августа это вторая такая zero-day в том же сервисе, а обходного пути Cisco не даёт.

Что сломалось в SSL VPN Cisco ASA и FTD

CVE-2026-76418 позволяет без учётных данных удалённо перезагрузить межсетевой экран. Ошибка находится в сервисе Remote Access SSL VPN программного обеспечения Cisco Secure Firewall ASA и Secure Firewall Threat Defense (FTD). Cisco оценила её в 8,6 балла по CVSS и выпустила исправления в среду, 28 октября 2026 года. На следующий день о них написал Eduard Kovacs из SecurityWeek.

Cisco объясняет причину логическими ошибками в обработке tunnel group (групп туннелей), где настроена вторичная аутентификация (secondary authentication). Злоумышленник отправляет специально сформированный запрос в момент подключения к SSL VPN. После этого устройство неожиданно перезагружается, а удалённый доступ пропадает.

Входить в VPN, чтобы добраться до уязвимого участка кода, не требуется, подчёркивает Cisco. Дефект срабатывает до окончания проверки пользователя. Атакующему не нужны ни пароль, ни сертификат, ни второй фактор, достаточно сетевого доступа к странице входа.

По описанию Cisco, последствия касаются только доступности. Чтения трафика, кражи данных или выполнения кода в бюллетене нет. Однако межсетевой экран на периметре почти никогда не отвечает только за VPN, и ниже мы покажем, что ещё ломается вместе с ним.

Балл 8,6 попадает в диапазон High (7,0-8,9) и не дотягивает до Critical. Только CVSS не знает, сколько сотрудников подключается через этот шлюз и во что вам обходится час простоя.

Кого касается уязвимость Cisco ASA VPN, а кого Cisco исключила

Атака работает только там, где одновременно выполнены три условия. Cisco перечислила их прямо:

1. ASA или FTD работает на релизе без октябрьского исправления;
2. у атакующего есть сетевой доступ к службе входа SSL VPN, а на практике это почти всегда интерфейс, открытый в интернет;
3. в уязвимой tunnel group включена вторичная аутентификация.

Достаточно убрать любое из условий, и описанная атака не сработает. Под них не подпадает, например, филиальный ASA, который маршрутизирует и фильтрует трафик, но не обслуживает удалённый доступ. Не подпадает и VPN-шлюз, где пользователи входят по одному фактору.

Вторичную аутентификацию включают, когда одной проверки недостаточно. Типичная схема: сначала пользователя проверяют через LDAP или RADIUS в Active Directory, затем через отдельный сервер одноразовых кодов. Так устроен вход во многих крупных компаниях и у тех, кто проходил аудит требований к удалённому доступу. Неприятно, что под удар попали именно организации, которые усилили защиту входа вторым фактором.

Cisco отдельно назвала продукты, которых уязвимость не касается: облачные (cloud-delivered) межсетевые экраны и сервисы управления, Cisco Secure Access и Secure Firewall Management Center (FMC).

С FMC при инвентаризации регулярно ошибаются. FMC служит консолью, а уязвимый код работает на FTD, которыми она управляет. Фраза «FMC не подвержен уязвимости» ничего не говорит об управляемых им устройствах. Исправление нужно ставить на каждый FTD, а консоль обновлять, только если этого требует совместимость с новой версией.

Если вы не знаете точно, какие ваши адреса открывают портал входа наружу, нужна внешняя разведка периметра. Внешний пентест сети проверяет такие точки в первую очередь, и SSL VPN почти всегда попадает в его список.

Можно ли закрыться без обновления?

Полноценного обходного пути нет. Cisco прямо пишет, что workaround для CVE-2026-76418 не существует, и рекомендует обновиться. Две конфигурационные меры сокращают поверхность атаки, но подходят не всем и обходятся дорого.

Выбор между ними зависит от настроек группы туннелей по умолчанию (default tunnel group):

• Отключить список tunnel group на странице входа, чтобы пользователь не выбирал группу из меню. Сработает это не в каждой схеме: всё зависит от того, в какую группу попадает подключение по умолчанию.
• Снять вторичную аутентификацию с уязвимых групп. Атака перестанет работать, но исчезнет и второй рубеж входа.

Сама Cisco второй вариант не одобряет. По словам SecurityWeek, компания предупредила, что без вторичной аутентификации удалённый VPN становится менее защищённым, и советует обновляться. Мы согласны: если убрать второй фактор, риск простоя сменится риском входа по украденному паролю. Перезагрузку видно сразу, а вход по чужой учётной записи можно не замечать месяцами.

Если окна обслуживания придётся ждать, ограничьте адреса, с которых доступен портал входа (второе условие атаки). Например, разрешите только нужные страны и известные диапазоны партнёров, а заодно настройте оповещения о перезагрузках. Эту меру предлагаем мы, а не Cisco, и второй фактор при ней остаётся на месте.

В публичной заметке SecurityWeek номеров исправленных версий нет. У ASA и FTD несколько поддерживаемых веток, и для каждой Cisco указывает свой fixed release. Целевую версию берите из бюллетеня Cisco по CVE-2026-76418 и сверяйте в Cisco Software Checker. Чужая статья или чат админов для этого не годятся: переход «на последнюю» в другой ветке может оказаться и неудобным, и рискованным.

Для компаний в России есть ещё одна сложность. Многие ASA работают без действующего сервисного контракта, и официально получить обновление труднее. Риск от этого не меньше: придётся закрывать доступ к порталу сетевыми средствами и всерьёз планировать замену шлюза.

Чем опасна «простая» перезагрузка межсетевого экрана?

Перезагрузка межсетевого экрана бьёт не только по удалённым сотрудникам. Пока ASA или FTD загружается, через узел может не проходить и транзитный трафик: каналы между офисами, опубликованные наружу сервисы, соединения с облаками. Загрузка может занимать несколько минут, и всё это время периметр по сути закрыт.

Опаснее единичного сбоя возможность повторять атаку. Запрос не требует логина, поэтому атакующий может отправлять его после каждой загрузки и растягивать простой. Failover и кластер смягчают удар, но не устраняют его: на основном и резервном узле стоит одинаковый софт, и уязвимы они одинаково.

Есть и менее заметное последствие. Администраторы часто сами заходят в инфраструктуру через тот же VPN, а мониторинг и управление идут через тот же узел. Во время атаки команда может потерять доступ к инструментам, с помощью которых атаку пришлось бы разбирать.

Источники не сообщают, служили ли перезагрузки прикрытием для других действий. Это лишь предположение, но при разборе инцидента его полезно проверить.

Руководителю нужно ответить на один вопрос: что дороже, час без удалённого доступа и связи между площадками или внеплановое окно обслуживания этой ночью. Обычно дешевле второе.

Вторая DoS zero-day в том же VPN с августа

За три месяца это уже второй случай. В августе 2026 года Cisco закрыла CVE-2026-20349, ошибку обработки HTTP-запросов. Она тоже позволяла без аутентификации перезагрузить ASA или FTD через тот же сервис Remote Access SSL VPN, и её тоже использовали в атаках.

Причины у двух ошибок разные. В августе сбой происходил при разборе HTTP-запроса, в октябре в логике tunnel group со вторичной аутентификацией. Поэтому августовский патч от новой атаки не защищает, октябрьский нужно ставить отдельно.

Ни по одному из случаев Cisco не раскрыла деталей кампаний. Неизвестно, стоит ли за обеими волнами один злоумышленник, и SecurityWeek прямо пишет, что это неясно. Совпадение цели и эффекта наводит на мысль о систематической работе против этого сервиса, но доказательств пока нет.

VPN-портал на периметре остаётся для злоумышленников удобной мишенью: он по определению открыт в интернет, принимает запросы до входа и стоит перед всей сетью. Так же было с критическим обходом аутентификации в Citrix NetScaler: шлюз удалённого доступа, дыра до логина и патч, которого ничто не заменяет.

Что проверить на своём периметре до и после обновления

Проверьте три условия атаки на каждом устройстве по отдельности, а не по общему списку моделей.

1. Версия. «show version» показывает релиз и uptime. Сверьте релиз с таблицей исправленных версий в бюллетене Cisco именно для CVE-2026-76418. Слишком короткий uptime на стабильном железе уже повод поднять журналы.
2. SSL VPN. «show running-config webvpn» показывает, на каких интерфейсах включён портал и есть ли строка «tunnel-group-list enable».
3. Вторичная аутентификация. В выводе «show running-config tunnel-group» ищите «secondary-authentication-server-group». Отдельно проверьте группу по умолчанию: от неё зависит, сработают ли временные меры.
4. Доступность снаружи. С разрешённой внешней точки проверьте, открывается ли страница входа. Конфигурация показывает намерение, а не то, что видно из интернета: NAT, балансировщики и забытые адреса регулярно преподносят сюрпризы.
5. Журналы. «show running-config logging» должен показывать отправку на внешний syslog. После неожиданной перезагрузки локальный буфер часто теряет события перед сбоем. На FTD проверьте логирование через FMC или тот механизм управления, которым пользуетесь.
6. Улики. До обновления сохраните «show crashinfo» и «show logging» и сопоставьте время перезагрузок с данными внешнего мониторинга.

Заметка из практики. На внешних проверках периметра мы чаще находим не неизвестный VPN-шлюз, а известный, но забытый. Это резервный ASA на второй площадке, тестовый портал или старый адрес, который так и не убрали из DNS. Основной узел обновляют, а второй продолжает работать на прошлогоднем релизе. Поэтому начинайте инвентаризацию со списка внешних адресов, а не с CMDB.

Не спешите с выводами. Одна перезагрузка ещё не доказывает атаку: блок питания, плановый перезапуск или другой программный дефект дают тот же симптом. Публичных IOC нет, поэтому об атаке судите по совокупности признаков: времени, crashinfo, журналам HTTPS и VPN, внешним данным.

После обновления:

• в failover или кластере обновите каждый узел по процедуре Cisco, резервирование уязвимость не закрывает;
• для FTD заранее проверьте, совместима ли целевая версия с вашим FMC;
• если временно снимали вторичную аутентификацию, верните её;
• ещё несколько недель следите за uptime и доступностью VPN: атака проявляется именно перезагрузкой, и мониторинг заметит её быстрее всего.

Только за последние три месяца у ASA вышли два бюллетеня об используемых в атаках дырах в одном и том же сервисе. Если каждый такой бюллетень оборачивается ручным авралом, переведите периметр на регулярную оценку уязвимостей.

Что известно об атаках и чего пока не знаем

Команда безопасности продуктов Cisco (PSIRT) узнала об атаках с использованием CVE-2026-76418 в октябре 2026 года. Точную дату компания не называет.

Уязвимость нашли не на конференции и не в bug bounty, а при разборе обращения в техподдержку Cisco TAC. Автором находки Cisco называет Eric Fernald. Подробностей обращения компания не раскрывает, но сам путь показателен: атака на периметр всплыла как рядовой сбой оборудования, с которым клиент пришёл в поддержку.

Если ваши ASA или FTD в октябре перезагружались без понятной причины, поднимите эти события заново, в первую очередь на устройствах с SSL VPN и вторичной аутентификацией.

Публичная информация отвечает на вопрос «что чинить», но не на вопрос «кто и зачем». Открытыми остаются:

• личность атакующих и их цели: Cisco не назвала ни группу, ни отрасли, ни страны;
• число пострадавших устройств и время начала атак до их обнаружения в октябре;
• связь между августовской и октябрьской волнами;
• индикаторы компрометации: если Cisco их опубликует, они появятся в бюллетене, а не в пересказах.

Считать атаки единичными оснований нет, но и придумывать атрибуцию не стоит. Зато патч вышел, обходного пути нет, а условия атаки проверяются за час.

Частые вопросы

Нужны ли учётные данные, чтобы вызвать перезагрузку по CVE-2026-76418?

Нет. По словам Cisco, для попадания в уязвимый участок кода не нужен успешный вход в VPN: достаточно отправить специально сформированный запрос при подключении к SSL VPN.

Влияет ли уязвимость на конфиденциальность данных или только на доступность VPN?

По описанию Cisco, только на доступность: устройство неожиданно перезагружается. При этом вместе с VPN может прерываться и транзитный трафик через межсетевой экран.

Как проверить, включена ли вторичная аутентификация в tunnel group?

Посмотрите вывод «show running-config tunnel-group» и найдите строку «secondary-authentication-server-group». Отдельно проверьте группу по умолчанию: от её настроек зависит, помогут ли временные меры до обновления.

Помогает ли августовский патч по CVE-2026-20349 против новой дыры?

Нет. Это разные ошибки в одном сервисе: августовская связана с обработкой HTTP-запросов, октябрьская с логикой tunnel group и вторичной аутентификацией. Нужно ставить октябрьское исправление.

Какие продукты Cisco не уязвимы к CVE-2026-76418?

Облачные межсетевые экраны и сервисы управления, Cisco Secure Access и Secure Firewall Management Center. Управляемые через FMC устройства FTD при этом могут быть уязвимы.

Если хотите убедиться, что патч установлен везде, а забытых VPN-порталов на периметре не осталось, HirexTech проведёт тестирование на проникновение вашего внешнего контура и поможет с обновлением без лишнего простоя.