Cisco ASA et FTD : le VPN SSL peut être coupé avant même la connexion
Cisco signale l’exploitation active de CVE-2026-76418. Le VPN SSL et l’authentification secondaire déterminent l’exposition, y compris sur le groupe par défaut. Les correctifs dépendent de la branche.
Pour aller plus loin
Image générée · SecuFocus
En bref
L’essentiel
Si un pare-feu Cisco ASA ou FTD fournit l’accès VPN de votre organisation, transmettez ce bulletin à son administrateur. Une requête sans authentification peut provoquer le redémarrage de l’équipement lorsqu’un VPN SSL accessible utilise l’authentification secondaire dans le périmètre de groupes décrit par Cisco. Ce bulletin décrit un déni de service, pas un vol de données démontré.
Le groupe par défaut compte aussi
Le bulletin du 28 octobre vise Cisco Secure Firewall ASA et Secure Firewall Threat Defense. Une version vulnérable, le service de connexion VPN SSL accessible et l’authentification secondaire configurée sont les conditions à rapprocher. Une connexion VPN réussie n’est pas nécessaire pour atteindre le traitement concerné.
Si tunnel-group-list enable est actif, Cisco demande de vérifier tous les groupes, y compris DefaultWEBVPNGroup, pas seulement ceux visibles sur la page de connexion. Si la liste est désactivée, le groupe par défaut reste à examiner : retirer la liste ne supprime pas l’exposition si ce groupe utilise secondary-authentication-server-group.
Choisir le correctif de la bonne branche
Cisco publie des versions corrigées distinctes. Par exemple, la branche ASA 9.18 a pour premier correctif 9.18.4.96 ; la branche FTD 7.4, 7.4.9. Ce ne sont pas des cibles universelles pour les autres branches. Le tableau complet du bulletin et le chemin de mise à niveau pris en charge doivent guider l’administrateur.
Le résumé dit qu’il n’existe pas de workaround, tandis que le corps décrit une atténuation temporaire : désactiver la liste seulement si le groupe par défaut n’utilise pas l’authentification secondaire, ou retirer cette authentification du groupe par défaut. Ce second geste abaisse la sécurité du VPN. Ne le transformez pas en conseil de désactivation générale de l’authentification ; Cisco recommande fortement la mise à jour et demande d’évaluer l’impact de l’atténuation sur chaque environnement.
Une exploitation confirmée, pas une attaque supposée sur votre appareil
Cisco indique avoir connaissance d’une exploitation active en octobre. La CISA ajoute la CVE au KEV le 29 octobre, avec une échéance fédérale américaine au 1er novembre. Cette date n’est pas un délai universel accordé à tous les administrateurs. La fiche KEV ne demande pas de triage forensique pour cette entrée ; cela ne prouve pas qu’un équipement donné est sain.
Cette alerte ne concerne pas toutes les applications portant le mot VPN, ni le pare-feu de votre ordinateur par défaut. Elle aide à vérifier un accès professionnel précis. SecuFocus a lu le bulletin et les fiches primaires, sans tester l’exploitation, un correctif ou la configuration d’un client.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- CISA · KEV, CVE-2026-76418 ↗cisa.gov ·
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.