Cisco corrige un zero-day activement exploité dans ASA et FTD, les pare-feux exposés au rechargement forcé

Cisco a publié le 29 octobre des correctifs d’urgence pour une vulnérabilité zero-day, référencée CVE-2026-76418, qui affecte ses pare-feux Secure Firewall Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD). La faille, notée 8,6 sur l’échelle CVSS, permet à un attaquant distant non authentifié de provoquer le rechargement inattendu de l’équipement, entraînant une condition de déni de service. Le constructeur confirme avoir détecté une exploitation active dans la nature depuis le début du mois d’octobre.

La vulnérabilité réside dans le service VPN d’accès distant SSL des logiciels ASA et FTD. Elle ne devient exploitable que lorsque l’authentification secondaire est configurée au niveau d’un groupe de tunnels. Dans cette configuration, un attaquant peut envoyer une requête spécialement conçue lors de la connexion au VPN SSL pour déclencher le rechargement du pare-feu.

Cisco précise dans son avis de sécurité que trois conditions doivent être réunies pour qu’un équipement soit vulnérable : il doit exécuter une version affectée du logiciel ASA ou FTD, le service de connexion VPN SSL doit être accessible, et l’authentification secondaire doit être configurée dans la portée du groupe de tunnels. L’entreprise recommande aux administrateurs de vérifier tous les groupes de tunnels, y compris le groupe par défaut DefaultWEBVPNGroup, pour identifier la présence du paramètre secondary-authentication-server-group.

Les mises à jour couvrent l’ensemble des branches encore supportées. Pour ASA, les versions 9.16 et antérieures sont corrigées dans la 9.16.4.104, la 9.18 dans la 9.18.4.96, la 9.20 dans la 9.20.4.50, la 9.22 dans la 9.22.3.200, la 9.23 dans la 9.23.1.48, et la 9.24 dans les 9.24.1.27 et 9.24.10.1. Côté FTD, les branches 7.0, 7.2, 7.4, 7.6, 7.7, 10.0 et 10.1 reçoivent chacune leur correctif respectif.

Cisco n’a pas divulgué d’indicateurs de compromission ni de détails sur les campagnes d’exploitation observées, ni sur l’identité des acteurs de menace impliqués. L’entreprise indique seulement avoir pris connaissance de l’exploitation active en octobre 2026 via son équipe PSIRT (Product Security Incident Response Team).

Cette vulnérabilité illustre une fois de plus les risques liés à l’exposition directe des interfaces d’administration et de VPN sur l’internet public. Les pare-feux de périmètre, par leur nature même, constituent des cibles de choix. La configuration de l’authentification secondaire, bien que légitime pour renforcer la sécurité des accès distants, a ici introduit une surface d’attaque critique.

Les organisations utilisant des équipements Cisco ASA ou FTD avec VPN SSL sont invitées à appliquer les correctifs sans délai. En attendant le déploiement des mises à jour, la désactivation temporaire de l’authentification secondaire sur les groupes de tunnels concernés constitue une mesure d’atténuation possible, au prix d’une réduction du niveau de sécurité des connexions VPN.

Sources : BleepingComputer, The Hacker News