Для кого: администраторы Cisco Secure Firewall ASA и FTD, которые выставляют SSL VPN в интернет. Страница основана на бюллетене Cisco, NVD и списке KEV от CISA; в ней нет шагов атаки или кода эксплойта.
В развитии: эта страница будет обновляться по мере новых публикаций
По состоянию на 29 октября 2026 года (JST)Пока неизвестно
- Кого и насколько широко атакуют (Cisco не опубликовала подробностей)
- Включение в KEV от CISA (нет в списке, опубликованном в 19:00 UTC 28 октября)
- Собственная оценка NVD (статус: Received)
- Оповещение JPCERT/CC (не найдено)
Cisco опубликовала бюллетень 28 октября (UTC) с исправленными версиями, как окончательную версию 1.0, и сообщает, что узнала об эксплуатации в октябре 2026 года.
Что делать сегодня
Проверьте, выставлен ли у вас SSL VPN
На ASA найдите в работающей конфигурации webvpn с enable хотя бы на одном интерфейсе. На FTD проверьте развёрнутую политику VPN удалённого доступа в FMC или FDM и итоговую конфигурацию. Cisco также делает условием доступность службы входа.
Найдите туннельные группы со вторичной аутентификацией
Cisco советует искать secondary-authentication-server-group в туннельных группах. Если настроено tunnel-group-list enable, проверьте все группы, включая те, что не показаны на странице входа. Если нет, проверьте DefaultWEBVPNGroup: отключение списка групп не устраняет уязвимость, если группа по умолчанию использует вторичную аутентификацию. Для доступа к уязвимому коду успешный вход в VPN не нужен.
Обновитесь до исправленной версии
Перейдите как минимум на версию из таблицы ниже. Cisco Software Checker поможет подтвердить, затронута ли ваша версия. Если вы обновлялись в августе из-за CVE-2026-20349, учтите, что исправленные версии этого бюллетеня новее, поэтому может потребоваться обновить снова.
Если пока не можете обновиться, решите вопрос о временной мере
Если DefaultWEBVPNGroup не использует вторичную аутентификацию, no tunnel-group-list enable отключает список групп; тогда пользователям нужно знать название своего профиля подключения. Если использует, no secondary-authentication-server-group убирает её, но снижает безопасность удалённого доступа. Cisco называет обе меры временными и просит сначала проверить их.
Следите за перезагрузками и планируйте простой VPN
Ищите в мониторинге журналов или оповещениях syslog перезагрузки, которые не можете объяснить (наша оценка). Решите уже сегодня, кто принимает решение, как сообщать удалённым сотрудникам и какая работа остановится, если VPN упадёт.
Исправленные версии
| Продукт | Ветка | Первая исправленная версия |
|---|---|---|
| ASA | 9.16 и ранее | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27, 9.24.10.1 |
| FTD | 7.0 и ранее | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Cisco говорит, что Cloud-delivered Firewall, cdFMC, Secure Access и Secure FMC Software не затронуты.
1. SSL VPN включён
webvpn включён хотя бы на одном интерфейсе
2. Служба входа доступна
Можно подключиться из интернета или других сетей
3. Задана вторичная аутентификация
secondary-authentication-server-group в туннельной группе
Что было раскрыто
- CVE
- CVE-2026-76418 (бюллетень Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, идентификатор ошибки CSCwx26625)
- Тип
- CWE-690. Логическая ошибка, когда для туннельной группы настроена вторичная аутентификация
- Серьёзность
- CVSS v3.1 8.6 (Cisco). Сеть, без аутентификации, без участия пользователя. Влияет только на доступность
- Последствия
- Неаутентифицированный удалённый атакующий может перезагрузить устройство и вызвать отказ в обслуживании
- Раскрытие
- 28 октября 2026 года (UTC), окончательная версия 1.0. Обнаружено при обработке обращения в поддержку Cisco TAC
- Эксплуатация
- Cisco PSIRT сообщает, что узнала об эксплуатации в октябре 2026 года; подробностей о том, кто и насколько широко, нет
- Обходное решение
- Нет. Временные меры — в шаге 4 выше
NVD зарегистрировала CVE в тот же день со статусом Received и только с оценкой Cisco. В её записи есть также оценка координатора CISA, где эксплуатация указана как «none» (28 октября, около 22:45 UTC), что противоречит заявлению Cisco. Перепроверьте позже, какая из них отражает более новые сведения.
Как это связано с CVE-2026-20349 в августе
В той же службе SSL VPN на ASA и FTD 11 августа была раскрыта CVE-2026-20349 (CVSS 8.6, специально сформированный HTTP-запрос перезагружает устройство); Cisco знала об эксплуатации, а CISA в тот же день внесла её в KEV. Это другая уязвимость с другой причиной и другим условием (здесь — вторичная аутентификация). Два вывода для защитников:
- Cisco говорит, что видела эксплуатацию двух уязвимостей, перезагружающих один и тот же класс устройств без входа, раскрытых с разницей около 2,5 месяцев (11 августа и 28 октября). Рассчитывайте на то, что устройства SSL VPN могут перезагружаться
- Исправленные версии различаются, поэтому устройство, обновлённое в августе, всё ещё может отставать. Для ASA 9.18 исправление августа — 9.18.4.94, а это — 9.18.4.96
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Фактическая эксплуатация | Cisco говорит, что знает; подробностей нет |
| Включение в KEV | Нет в списке, опубликованном в 19:00 UTC 28 октября |
| Оценка NVD | Received (только оценка Cisco) |
| Оповещение японских государственных органов | В нашей проверке не найдено |
Источники
Проверено 29 октября 2026 года.
- Cisco, «Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability» (cisco-sa-asaftd-tunnel-dos-s6mgkb75, 28 октября 2026 года) — cisco.com
- NVD, CVE-2026-76418 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog — cisa.gov
- Cisco, «Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability» (cisco-sa-asaftd-vpn-dos-dzv4mQFF, CVE-2026-20349, 11 августа 2026 года, обновлено 16 сентября) — cisco.com
Журнал изменений
2026-10-29: первая версия на основе бюллетеня Cisco (28 октября), NVD и списка KEV от CISA.
Читайте далее
- Защита VPN-устройств: Как защитить VPN-устройства и удалённый доступ
- Эксплуатировались в том же месяце: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Расстановка приоритетов: Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV)
- Порядок действий: Руководство по устранению уязвимостей
- Термины: Что такое CVSS?