Cisco : une faille exploitée peut interrompre les accès distants

Une attaque peut faire redémarrer le pare-feu

Cisco a publié le 28 octobre 2026 un bulletin concernant ses logiciels Secure Firewall ASA et Secure Firewall Threat Defense, ou FTD (logiciels de pare-feu, qui contrôlent les échanges réseau). La vulnérabilité CVE-2026-76418 touche leur service VPN SSL (connexion sécurisée au réseau à distance utilisant SSL, un mécanisme de protection des échanges).

Un attaquant distant, sans authentification (vérification d’identité), peut envoyer une requête spécialement construite et provoquer un redémarrage inattendu de l’équipement. La conséquence décrite est un déni de service (interruption de sa disponibilité). Cisco indique avoir eu connaissance d’une exploitation active en octobre 2026 et recommande fortement la mise à jour. Le CERT-FR reprend cette exploitation active dans son avis du 29 octobre.

Vérifier la configuration autant que la version

Sont concernés les équipements exécutant une version vulnérable d’ASA ou de FTD, dont le service de connexion VPN SSL est joignable et dont l’authentification secondaire (vérification supplémentaire de l’identité) est configurée dans le périmètre de profils de connexion décrit par Cisco. Une connexion VPN réussie n’est pas nécessaire pour atteindre le traitement vulnérable.

Pour la personne chargée de l’administration, le contrôle porte sur l’activation de SSL VPN sur au moins une interface (point de connexion réseau) et sur les groupes de connexion. Si tunnel-group-list enable (paramètre activant la liste des profils de connexion) est présent, il faut examiner tous les groupes, y compris DefaultWEBVPNGroup (groupe de connexion par défaut), pour rechercher secondary-authentication-server-group (paramètre d’authentification secondaire). Le contrôle ne se limite pas aux profils affichés sur la page de connexion.

Si la liste des groupes est désactivée ou absente, le groupe par défaut reste à examiner : masquer cette liste ne supprime pas l’exposition lorsque ce groupe utilise l’authentification secondaire. Sous FTD, Cisco demande de vérifier la politique VPN déployée et la configuration réellement appliquée à l’équipement.

Cisco confirme que Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access et le logiciel Secure FMC ne sont pas affectés par cette vulnérabilité.

Des correctifs disponibles depuis le bulletin du 28 octobre

Le bulletin Cisco fournit les versions corrigées par branche (famille de versions). Il ne fixe aucune date limite calendaire ; l’exploitation active justifie de traiter rapidement la vérification puis la mise à jour des équipements exposés.

Cisco distingue les correctifs des mesures d’atténuation temporaires. Si le groupe par défaut n’utilise pas l’authentification secondaire, désactiver la liste des groupes constitue une mesure proposée ; les utilisateurs doivent alors connaître le profil à employer. Si le groupe par défaut utilise cette authentification, la suppression de l’authentification secondaire réduit la sécurité de l’accès distant. Cisco demande d’évaluer l’applicabilité et les effets de ces mesures dans chaque environnement avant leur déploiement.

Faire confirmer l’exposition et organiser la correction

• Demandez à votre administrateur ou prestataire d’identifier la version d’ASA ou de FTD et la configuration VPN réellement déployée.
• Faites contrôler tous les groupes concernés, y compris le groupe par défaut et les profils absents de la liste visible.
• Si l’équipement est exposé, organisez sa mise à jour vers une version corrigée adaptée à sa branche, en vous appuyant sur la rubrique Fixed Software (logiciels corrigés) du bulletin Cisco.
• Si une mesure temporaire est envisagée, faites évaluer ses conséquences sur la connexion des utilisateurs et sur l’authentification avant de l’appliquer.

Pour l’entretien des protections de vos accès distants, VCSTS entretient les protections du périmètre confié, notamment par les mises à jour des composants couverts et la revue des comptes et règles.