Коротко
DoS-вразливість Cisco ASA/FTD (CVE-2026-76418) дає змогу віддаленому зловмиснику без облікового запису перезавантажити міжмережевий екран через службу Remote Access SSL VPN. Cisco опублікувала бюлетень Cisco Security Advisory 28 жовтня 2026 року: рівень High, оцінка CVSS 8,6, оновлення вже випущені. Обхідних рішень немає, є лише тимчасове пом'якшення.
Кого стосується
Ризик є за трьох умов одночасно: на пристрої працює вразливий реліз Cisco Secure Firewall ASA або Secure FTD, служба входу SSL remote access VPN доступна ззовні, а в tunnel group налаштована вторинна автентифікація. Перелік вразливих релізів Cisco винесла в розділ Fixed Software бюлетеня.
Cisco підтвердила, що вразливості не мають Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access (CSA) і Secure FMC Software. Якщо у вас VPN на іншому обладнанні або SSL VPN на ASA/FTD вимкнений, цей бюлетень вас не торкається.
Що це означає для бізнесу
Успішний вхід у VPN для атаки не потрібен: достатньо надіслати спеціально сформований запит під час підключення. Наслідок: пристрій перезавантажується, і поки він піднімається, співробітники вдома чи у відрядженні не мають доступу до внутрішніх систем.
Якщо цей міжмережевий екран стоїть на межі мережі офісу, зупинка може зачепити й інший трафік, не лише VPN. Це не руйнування даних, а перерва в роботі, але для бухгалтерії чи відділу продажів, що працює з 1С або CRM віддалено, вона відчутна.
Що зробити
Пріоритети
Сьогодні: визначити, чи ви потрапляєте під умови (кроки 1–3). Цього тижня: встановити оновлення у погоджене вікно обслуговування. Якщо оновити одразу не вийде, застосуйте тимчасове пом'якшення (крок 4). Під час планового перегляду політик VPN: переглянути, чи справді потрібні всі профілі підключення.
- Знайдіть пристрої з SSL VPN. У running configuration шукайте ключове слово webvpn і рядок webvpn enable з назвою інтерфейсу. Для FTD дивіться Devices > VPN > Remote Access у Secure Firewall Management Center або Remote Access VPN у Device Manager. Перевірка: у вас є список пристроїв, де SSL VPN увімкнений хоча б на одному інтерфейсі.
- Перевірте вторинну автентифікацію. Якщо є tunnel-group-list enable, огляньте всі tunnel group, зокрема DefaultWEBVPNGroup, на наявність secondary-authentication-server-group. Якщо рядка tunnel-group-list немає, однаково перевірте DefaultWEBVPNGroup. Перевірка: для кожного пристрою зафіксовано, які групи мають вторинну автентифікацію.
- Звірте версію ПЗ з розділом Fixed Software у бюлетені Cisco. Перевірка: для кожного пристрою записано поточний реліз і цільовий виправлений.
- Заплануйте оновлення. Якщо чекати доведеться, розгляньте пом'якшення з бюлетеня. Коли DefaultWEBVPNGroup не використовує вторинну автентифікацію, вимкніть список груп командою no tunnel-group-list enable (користувачі більше не побачать список профілів і мусять знати свій). Коли використовує, команда no secondary-authentication-server-group прибирає вторинну автентифікацію, але знижує захищеність VPN. Спершу оцініть наслідки для своєї схеми. Перевірка: після зміни конфігурація оновилась, а тестове підключення від звичайного користувача проходить.
- Після оновлення протестуйте VPN. Перевірка: входять користувачі з різних профілів, а якщо ви вимикали вторинну автентифікацію, її повернено за вашою політикою.
Якщо немає свого адміністратора
Перші два кроки по суті зводяться до читання конфігурації, і зробити їх може той, хто має доступ до пристрою. Якщо у вашій компанії немає людини, яка стежить за мережею офісу й VPN між офісами, перевірку та оновлення міжмережевого екрана можна передати команді TakeIT.
Висновок
Ця вразливість не вимагає від зловмисника пароля, але проявляється лише за певної конфігурації, тож першим кроком є перевірка, чи ви під умови потрапляєте. Якщо так, оновлення варто поставити в найближче вікно обслуговування. До того можна скористатися тимчасовим пом'якшенням, зваживши його ціну для безпеки.
