Ing. Calogero Bono
Cisco выпустила обновления для уязвимости типа denial of service в программном обеспечении Secure Firewall ASA и Secure Firewall Threat Defense (FTD). По словам Cisco, уязвимость уже эксплуатируется, потому что её группа безопасности зафиксировала активное использование в октябре 2026 года. Злоумышленник без учётных данных может удалённо заставить файрвол перезагрузиться. Если твой удалённый доступ проходит через него, принудительная перезагрузка означает офисы и удалёнку без VPN.
Несколько терминов, прежде чем перейти к фактам. Zero-day («нулевой день») — это уязвимость, которую используют раньше, чем появляется исправление. DoS (denial of service) — атака, из-за которой сервис становится недоступен. SSL VPN — зашифрованный туннель, через который подключаются к корпоративной сети извне. Tunnel group — профиль подключения, настроенный на файрволе. Вторичная аутентификация — дополнительная проверка личности, которая требуется в этом профиле.
Что произошло?
Согласно официальному уведомлению Cisco, проблема находится в службе Remote Access SSL VPN. Причина — ошибки в логике, когда вторичная аутентификация настроена для tunnel group. Достаточно отправить специально сформированный запрос во время подключения к SSL VPN, и устройство перезагружается.
Уязвимость обозначена как CVE-2026-76418. The Hacker News называет оценку CVSS 8.6, а BleepingComputer относит её к высокой серьёзности. Одна деталь важнее остальных. Cisco пишет, что для доступа к уязвимому месту не нужен успешный вход в VPN.
Какие устройства уязвимы?
Не все файрволы Cisco под угрозой. Cisco указывает три условия, которые должны выполняться одновременно.
- Устройство работает на уязвимом релизе ASA или FTD.
- Сервис входа в SSL VPN доступен извне.
- Вторичная аутентификация настроена в tunnel group.
Как проверить конфигурацию
Если в конфигурации есть ключевое слово webvpn и SSL VPN включён хотя бы на одном интерфейсе, конфигурация открыта. Затем проверяют tunnel group на наличие параметра secondary-authentication-server-group. Если присутствует tunnel-group-list enable, проверять нужно все группы, включая DefaultWEBVPNGroup. Если параметра нет или его убрали, всё равно стоит проверить группу по умолчанию, поскольку отключение списка не устраняет риск, когда эта группа использует вторичную аутентификацию. На FTD смотрят политику удалённого доступа в FMC или FDM.
Cisco уточняет, что не затронуты Cloud-delivered Firewall, cdFMC, Secure Access и Secure FMC Software.
Какие версии исправляют проблему?
Cisco выпустила обновления. Ниже первый исправленный релиз для каждой ветки.
- ASA 9.16 и более ранние, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 и 9.24.10.1
- FTD 7.0 и более ранние, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Настоящих обходных путей нет, но есть временная мера. Если DefaultWEBVPNGroup не использует вторичную аутентификацию, отключают список tunnel group командой no tunnel-group-list enable. Если использует, её убирают командой no secondary-authentication-server-group, но Cisco предупреждает, что так снижается безопасность удалённого доступа. В любом случае Cisco рекомендует обновиться.
Контекст других атак на Cisco
По данным BleepingComputer, это не единичный случай. В сентябре прошлого года Cisco исправила CVE-2025-20362 и CVE-2025-20333, которые использовались как zero-day на устройствах серии 5500-X. В тот же день американское CISA выпустило Emergency Directive 25-03, дав федеральным агентствам 24 часа. Cisco связала эти атаки с кампанией ArcaneDoor.
Издание также напоминает о другом zero-day типа DoS, CVE-2026-20349, исправленном в августе, и об уязвимости в Secure Email Gateway (CVE-2026-76519), закрытой в том же месяце. С ноября 2021 года CISA зафиксировала 101 уязвимость Cisco, которую использовали в атаках, и семь из них применяли также группы программ-вымогателей.
Ограничения, о которых стоит знать
Данных не хватает. Cisco не опубликовала индикаторы компрометации и не назвала ни атакующих, ни пострадавших, ни дату начала атак. Поэтому масштаб активности нам неизвестен.
По данным BleepingComputer, Shadowserver отслеживает более 51 000 устройств ASA с SSL VPN, доступных в интернете. Однако неизвестно, сколько из них уже обновлены или являются ханипотами, так что это не число уязвимых устройств. Наконец, мера по снижению риска проверена Cisco в тестовой среде, и её нужно оценивать в контексте собственной инфраструктуры.
Что это меняет для тех, кто работает с цифровыми технологиями
Для небольшой компании с файрволом Cisco практический эффект — прерывание удалённого доступа, а не обязательно кража данных. Ущерб всё равно есть, потому что те, кто работает из дома или с объекта, остаются без доступа. Если у тебя есть поставщик, который управляет файрволом, спроси его сегодня, какая версия установлена и включена ли вторичная аутентификация.
Для тех, кто управляет инфраструктурой, урок касается периметра. Открытый удалённый доступ нужно считать критическим сервисом, с инвентаризацией, окнами для обновлений и мониторингом. По теме доступа наш материал о VPN для удалённой работы поможет разобраться с базовым выбором. А для серверов, которые ты выставляешь в сеть, существуют наши управляемые серверы с обновлениями безопасности, чтобы не гнаться за такими предупреждениями.
Наше мнение
В этом случае есть ирония. Вторичная аутентификация — мера безопасности, и именно её настройка открывает путь к блокировке устройства. Рекомендация временно её убрать ставит администратора перед неприятным выбором между доступностью и защитой.
Мы критикуем нехватку информации. Когда известно, что falla эксплуатируется, но нет индикаторов компрометации, защитники действуют почти вслепую. Невозможно проверить логи на конкретные следы. Поэтому разумный путь один – обновиться сразу и не ждать деталей, которые могут так и не появиться.
Часто задаваемые вопросы
Может ли уязвимость позволить украсть данные?
Из источников — нет. Cisco описывает только неожиданную перезагрузку устройства, то есть denial of service. Никаких признаков доступа к данным через эту уязвимость не указано.
Нужна ли учётная запись VPN для эксплуатации?
Нет. Атакующий неаутентифицирован и действует удалённо. Cisco уточняет, что для доступа к уязвимому месту не нужен успешный вход в VPN.
Есть ли решение, если я не могу обновиться сразу?
Только временное. Отключают вторичную аутентификацию в tunnel group или, если группа по умолчанию её не использует, список tunnel group. Cisco напоминает, что это временная мера и она может снизить безопасность.
Насколько серьёзна уязвимость?
Высокая серьёзность. The Hacker News называет CVSS 8.6. Cisco подтверждает активное использование.
Как понять, что моя версия под угрозой?
Сравни свой релиз с таблицей обновлений в уведомлении. Cisco также предлагает Cisco Software Checker, который показывает уведомления для конкретной версии.
Что отслеживать в ближайшие недели
Информация об атаках и их масштабе пока неполная. А пока можно действовать по трём пунктам.
- Проверь версию и конфигурацию файрвола и запланируй обновление до исправленного релиза прямо сейчас.
- Если ждать придётся, обсуди временную меру с поставщиком, понимая, что потеряешь в безопасности.
- Следи за уведомлением Cisco на случай новых индикаторов компрометации и обновлений.
