Ing. Calogero Bono
Cisco a publié des mises à jour pour une vulnérabilité de type déni de service affectant les logiciels Secure Firewall ASA et Secure Firewall Threat Defense (FTD). Selon Cisco, la faille est déjà exploitée, car son équipe de sécurité a détecté une utilisation active dès octobre 2026. Un attaquant sans identifiants peut faire redémarrer le pare-feu à distance. Si ton accès distant passe par là, un redémarrage forcé signifie des bureaux et du télétravail sans VPN.
Quelques termes avant d'entrer dans les faits. Un zero-day est une faille exploitée avant qu'un correctif n'existe. DoS (denial of service) désigne une attaque qui rend un service indisponible. Un VPN SSL est le tunnel chiffré qui permet d'accéder au réseau de l'entreprise depuis l'extérieur. Un tunnel group est le profil de connexion configuré sur le pare-feu. L'authentification secondaire est un second contrôle d'identité exigé dans ce profil.
Que s'est-il passé ?
Selon l'avis officiel de Cisco, le problème se situe dans le service Remote Access SSL VPN. La cause est une erreur de logique lorsque l'authentification secondaire est configurée sur un tunnel group. Il suffit d'envoyer une requête spécialement conçue pendant la connexion à la VPN SSL pour que l'appareil redémarre.
La vulnérabilité est référencée CVE-2026-76418. The Hacker News indique un score CVSS de 8.6, tandis que BleepingComputer la qualifie de gravité élevée. Un détail pèse plus que les autres. Cisco écrit qu'atteindre le point vulnérable ne nécessite pas une connexion VPN réussie.
Quels appareils sont vulnérables ?
Tous les pare-feu Cisco ne sont pas à risque. Cisco indique trois conditions qui doivent être réunies.
- L'appareil exécute une version vulnérable d'ASA ou de FTD.
- Le service de connexion de la VPN SSL est accessible.
- L'authentification secondaire est configurée dans le tunnel group.
Comment vérifier la configuration
Si la configuration contient le mot-clé webvpn et que la VPN SSL est active sur au moins une interface, la configuration est exposée. Il faut ensuite contrôler les tunnel groups à la recherche de l'option secondary-authentication-server-group. Si tunnel-group-list enable est présent, il faut tous les vérifier, y compris DefaultWEBVPNGroup. Si cette ligne est absente ou a été supprimée, il faut quand même vérifier le groupe par défaut, car désactiver la liste n'élimine pas l'exposition lorsque ce groupe utilise l'authentification secondaire. Sur FTD, il faut regarder la politique d'accès distant dans FMC ou FDM.
Cisco précise que ne sont pas concernés Cloud-delivered Firewall, cdFMC, Secure Access et Secure FMC Software.
Quelles versions corrigent le problème ?
Cisco a publié les mises à jour. Voici la première version corrigée pour chaque branche.
- ASA 9.16 et antérieures, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 et 9.24.10.1
- FTD 7.0 et antérieures, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Il n'existe pas de solution de contournement à proprement parler. Il y a en revanche une atténuation temporaire. Si DefaultWEBVPNGroup n'utilise pas l'authentification secondaire, on désactive la liste des tunnel groups avec no tunnel-group-list enable. Si elle est utilisée, on la retire avec no secondary-authentication-server-group, mais Cisco avertit que la sécurité de l'accès distant s'en trouve réduite. Cisco recommande de toute façon la mise à jour.
Le contexte des autres attaques contre Cisco
Selon BleepingComputer, ce cas n'est pas isolé. En septembre de l'année dernière, Cisco a corrigé CVE-2025-20362 et CVE-2025-20333, exploitées comme zero-day sur des appareils de la série 5500-X. Le même jour, la CISA américaine a émis la Emergency Directive 25-03, avec 24 heures pour les agences fédérales. Cisco a relié ces attaques à la campagne ArcaneDoor.
Le média rappelle aussi un autre zero-day DoS, CVE-2026-20349, corrigé en août, et une faille sur Secure Email Gateway (CVE-2026-76519) réglée le même mois. Depuis novembre 2021, la CISA a signalé 101 failles Cisco exploitées, dont sept également par des groupes de ransomware.
Limites à connaître
Beaucoup de données manquent. Cisco n'a pas fourni d'indicateurs de compromission et n'a pas dit qui attaque, qui est visé, ni depuis quand les attaques ont commencé. Nous ne connaissons donc pas l'ampleur de l'activité.
Shadowserver, selon BleepingComputer, recense plus de 51 000 appareils ASA avec VPN SSL exposés en ligne. Il ne dit pas combien sont déjà à jour ni combien sont des honeypots, ce n'est donc pas le nombre d'appareils vulnérables. Enfin, l'atténuation a été testée par Cisco dans un environnement de test et doit être évaluée dans son propre contexte.
Ce qui change pour ceux qui travaillent avec le numérique
Pour une petite entreprise avec un pare-feu Cisco, l'effet concret est l'interruption de l'accès distant, pas forcément le vol de données. Le préjudice existe quand même, car ceux qui travaillent depuis chez eux ou depuis un chantier restent bloqués. Si un prestataire gère ton pare-feu, demande-lui dès aujourd'hui la version installée et si l'authentification secondaire est active.
Pour ceux qui gèrent des infrastructures, la leçon concerne le périmètre. Un accès distant exposé doit être traité comme un service critique, avec inventaire, fenêtres de mise à jour et surveillance. Sur le thème des accès, notre dossier sur le VPN pour le télétravail aide à réfléchir aux choix de base. Et pour les serveurs que tu exposes en ligne, nos serveurs gérés avec mises à jour de sécurité existent précisément pour ne pas courir après des alertes de ce genre.
Notre avis
Ce cas a une part d'ironie. L'authentification secondaire est une mesure de sécurité, et c'est précisément sa configuration qui ouvre la porte au blocage de l'appareil. L'atténuation conseille de la retirer, ce qui place l'administrateur face à un choix délicat entre disponibilité et protection.
Nous critiquons le manque d'informations. Savoir qu'une faille est exploitée sans disposer d'indicateurs de compromission laisse les défenseurs aveugles. Impossible de vérifier les journaux à la recherche de traces précises. La seule voie raisonnable est donc de mettre à jour immédiatement, sans attendre des détails qui pourraient ne jamais arriver.
Questions fréquentes
La faille permet-elle de voler des données ?
D'après les sources, non. Cisco décrit seulement un redémarrage imprévu de l'appareil, donc un déni de service. Rien n'indique un accès aux données via cette vulnérabilité.
Faut-il un compte VPN pour l'exploiter ?
Non. L'attaquant est non authentifié et distant. Cisco précise qu'une connexion VPN réussie n'est pas nécessaire pour atteindre le point vulnérable.
Existe-t-il une solution si je ne peux pas mettre à jour tout de suite ?
Seulement une solution temporaire. On désactive l'authentification secondaire sur les tunnel groups ou, si le groupe par défaut ne l'utilise pas, la liste des tunnel groups. Cisco rappelle qu'il s'agit d'une mesure provisoire qui peut réduire la sécurité.
Quelle est la gravité de la vulnérabilité ?
Gravité élevée. The Hacker News indique un CVSS de 8.6. Cisco confirme l'exploitation active.
Comment savoir si ma version est exposée ?
Compare ta version avec le tableau des mises à jour de l'avis. Cisco met aussi à disposition le Cisco Software Checker, qui indique les avis concernant une version précise.
Ce qu'il faut suivre dans les prochaines semaines
Les informations sur les attaques et leur ampleur restent ouvertes. En attendant, tu peux agir sur trois points.
- Vérifie la version et la configuration du pare-feu, et planifie tout de suite la mise à jour vers la version corrigée.
- Si tu dois attendre, évalue l'atténuation avec ton prestataire, en sachant ce que tu perds en sécurité.
- Suis l'avis Cisco pour d'éventuels indicateurs de compromission et mises à jour.
