Cisco выпустила исправления для CVE-2026-76418 в Cisco ASA и FTD. Уязвимость нулевого дня позволяет без аутентификации перезагрузить межсетевой экран специально собранным запросом к SSL VPN, и её уже используют в реальных атаках. Под удар попадают только конфигурации с webvpn и вторичной аутентификацией.

Что сломалось в Cisco ASA и FTD

Cisco закрыла CVE-2026-76418 в Adaptive Security Appliance (ASA) и Firepower Threat Defense (FTD). Атакующий без учётной записи отправляет специально собранный запрос при подключении к SSL remote-access VPN, и устройство уходит в перезагрузку. Итог атаки, по описанию Cisco, отказ в обслуживании.

По словам Cisco, причина в логических ошибках, которые проявляются при вторичной аутентификации на tunnel group. Производитель оценивает уязвимость как высокоопасную (high severity). Об эксплуатации Cisco PSIRT узнала в октябре 2026 года, но ни даты, ни целей, ни исполнителей не называет, а индикаторов компрометации не публикует.

Перезагрузка межсетевого экрана бьёт шире VPN: если на том же устройстве настроены NAT и site-to-site туннели, сбой оборачивается потерей связи у офиса или ЦОД.

Какие конфигурации Cisco ASA уязвимы к CVE-2026-76418?

Уязвимы устройства с такой конфигурацией:

• в конфигурации есть ключевое слово webvpn;
• SSL VPN включён хотя бы на одном интерфейсе;
• на tunnel group настроена вторичная аутентификация (secondary authentication), в том числе на стандартной DefaultWEBVPNGroup.

Все три условия должны выполняться одновременно. Открытый портал AnyConnect сам по себе ещё не значит, что устройство под угрозой.

Cisco настоятельно рекомендует перейти на исправленный релиз. Версию берите из раздела Fixed Software в бюллетене: у ASA и FTD разные ветки выпусков, поэтому подбирайте её под свой продукт и текущую ветку, а не копируйте с соседнего устройства.

Почему отключение secondary authentication не заменяет патч?

Обходного решения Cisco не предлагает. Если обновиться сразу нельзя, остаётся смягчение: выключить вторичную аутентификацию на DefaultWEBVPNGroup или своих tunnel group.

Если на ней держится второй фактор, удалённые сотрудники начнут входить по одному паролю. Зафиксируйте принятый риск, запишите группы без второго фактора и сразу назначьте дату обновления.

Сколько таких ASA видно из интернета?

Shadowserver отслеживает больше 51 000 Cisco ASA с SSL VPN, доступных из интернета. Сколько из них обновлены или оказались ловушками (honeypot), платформа не сообщает. Это число открытых устройств, а не уязвимых: сколько из них используют вторичную аутентификацию, публично неизвестно. Регулярная оценка уязвимостей отделяет «просто открытый VPN» от устройства, которое можно уронить одним запросом.

Это продолжение ArcaneDoor или другая история?

Cisco не связывает CVE-2026-76418 с ArcaneDoor или другой известной кампанией, но фон тревожный.

• ArcaneDoor. С ноября 2023 года кампания взламывала правительственные сети через zero-day CVE-2024-20353 и CVE-2024-20359. В сентябре 2025 года Cisco приписала ей атаки через CVE-2025-20362 и CVE-2025-20333 на серию 5500-X, и CISA в тот же день дала федеральным ведомствам США по директиве ED 25-03 24 часа на защиту межсетевых экранов Cisco.
• Август. Эксплуатируемая DoS-уязвимость CVE-2026-20349 роняла ASA/FTD с включёнными SSL listen sockets.
• Этот месяц. Эксплуатируемая CVE-2026-76519 в Secure Email Gateway позволяет без аутентификации выполнять команды с правами root.

С ноября 2021 года CISA отметила 101 эксплуатируемую уязвимость Cisco, семь из них применяли группировки с шифровальщиками. Поэтому тестирование на проникновение полезнее строить вокруг пути «VPN, затем внутренняя сеть», а не вокруг отдельного CVE.

Что проверить в Cisco ASA по CVE-2026-76418 сегодня

Начните с конфигурации, а не с журналов:

1. На ASA выполните show running-config all webvpn: есть ли блок webvpn и строки enable с именем интерфейса.
2. В выводе show running-config all tunnel-group найдите вторичную аутентификацию (например, secondary-authentication-server-group) на DefaultWEBVPNGroup и всех своих группах.
3. Командой show version запишите ветку ПО и uptime, сверьте версию с бюллетенем Cisco.
4. Для FTD конфигурацию VPN и доступное обновление смотрите в Secure Firewall Management Center или Device Manager.
5. Если обновиться сегодня нельзя, примените смягчение и заложите окно простоя VPN под обновление.

Заметка из практики: на внешнем пентесте сети чаще всего упускают DefaultWEBVPNGroup, которую настроили при запуске VPN и годами не открывали. Проверяйте её первой.

Неожиданные перезагрузки ASA/FTD фиксируйте (время, смена uptime, данные о сбое) и настройте на них оповещение. Чистый журнал VPN атаку не исключает: IOC Cisco не публиковала.

Частые вопросы

Уязвимы ли ASA и FTD без webvpn и SSL VPN?

Нет. Нужны три условия сразу: webvpn в конфигурации, SSL VPN хотя бы на одном интерфейсе и вторичная аутентификация на tunnel group.

Можно ли закрыть CVE-2026-76418 без обновления?

Полностью нельзя. Отключение вторичной аутентификации на DefaultWEBVPNGroup и своих tunnel group только смягчает риск до перехода на исправленный релиз.

Публиковала ли Cisco индикаторы компрометации?

Нет, IOC, цели атак и исполнители не раскрыты. Опирайтесь на проверку конфигурации и обновление, а не на поиск по журналам.

Если на входе у вас ASA или FTD и непонятно, что ещё видно снаружи, HirexTech может взять периметр на непрерывный пентест и проверять его после каждого нового бюллетеня.