安全指南

#漏洞 #CVE-2026-76418 #Cisco #ASA #FTD #VPN #暴露的服务

Cisco ASA与FTD VPN漏洞CVE-2026-76418：未经认证的攻击者可使设备重启（检查方法与修复版本）

CVE-2026-76418（CVSS 8.6）可让未经认证的攻击者通过远程访问SSL VPN使Cisco Secure Firewall ASA和FTD重启。Cisco称已被利用。触发条件、检查方法与修复版本。

发布于 2026-10-29 更新于 2026-10-29 最后核实 2026-10-29 3 分钟阅读

本页目录

适用对象：将SSL VPN暴露在互联网上的Cisco Secure Firewall ASA和FTD的管理员。本页基于Cisco的公告、NVD和CISA的KEV列表，不包含攻击步骤或利用代码。

事件仍在发展：本页将随更多信息发布而更新

截至2026年10月29日（日本时间）

尚不清楚

谁在受到攻击以及范围多大（Cisco未公布细节）
CISA的KEV收录（不在10月28日19:00 UTC发布的列表中）
NVD自己的评估（状态：Received）
JPCERT/CC的警示（未发现）

Cisco于10月28日（UTC）发布了公告并给出修复版本，为最终版本1.0，并称已知悉2026年10月出现利用。

今天该做什么

检查您是否暴露了SSL VPN

在ASA上，请在运行配置中查找webvpn，并确认至少一个接口上启用了enable。对于FTD，请在FMC或FDM中查看已部署的远程访问VPN策略及生成的配置。Cisco还将登录服务可被访问列为条件之一。

找出使用二次认证的隧道组

Cisco要求您在隧道组中查找secondary-authentication-server-group。如果配置了tunnel-group-list enable，请检查每一个组，包括登录页面上未显示的组。如果没有配置，请检查DefaultWEBVPNGroup：如果默认组使用了二次认证，去掉组列表并不能消除暴露。要触及受影响的代码，并不需要VPN登录成功。

升级到修复版本

至少升级到下表中的版本。Cisco Software Checker可以确认您的版本是否受影响。如果您8月为CVE-2026-20349升级过，请注意本公告的修复版本更新，因此可能需要再次升级。

如果暂时无法升级，请决定采用哪种临时缓解措施

如果DefaultWEBVPNGroup未使用二次认证，no tunnel-group-list enable可停用组列表；此后用户需要知道自己的连接配置文件名称。如果使用了，no secondary-authentication-server-group可将其移除，但会降低远程访问的安全性。Cisco称两者都只是临时措施，并请您先测试。

监控重启，并为VPN中断做好准备

请在日志监控或syslog告警中查找无法解释的重启（我们的判断）。今天就确定由谁决策、如何通知远程办公人员，以及VPN中断时哪些工作会停止。

修复版本

8.6

CVSS v3.1（Cisco）

无

所需认证

无变通方案

仅有临时缓解措施

已被利用（Cisco）

自2026年10月起知悉

产品	版本系列	首个修复版本
ASA	9.16及更早	9.16.4.104
ASA	9.18	9.18.4.96
ASA	9.20	9.20.4.50
ASA	9.22	9.22.3.200
ASA	9.23	9.23.1.48
ASA	9.24	9.24.1.27、9.24.10.1
FTD	7.0及更早	7.0.11
FTD	7.2	7.2.13
FTD	7.4	7.4.9
FTD	7.6	7.6.7
FTD	7.7	7.7.14
FTD	10.0	10.0.3
FTD	10.1	10.1.1

Cisco称，Cloud-delivered Firewall、cdFMC、Secure Access和Secure FMC Software不受影响。

1. 启用了SSL VPN

至少一个接口上启用了webvpn

2. 登录服务可被访问

可从互联网或其他网络连接

3. 设置了二次认证

隧道组中有secondary-authentication-server-group

据Cisco公告，三个条件必须同时满足，设备才会受影响。

披露了什么

ASA和FTD中的远程访问SSL VPN拒绝服务（CVE-2026-76418）

CVE: CVE-2026-76418（Cisco公告cisco-sa-asaftd-tunnel-dos-s6mgkb75，Bug ID CSCwx26625）
类型: CWE-690。在隧道组上配置二次认证时存在逻辑错误
严重程度: CVSS v3.1 8.6（Cisco）。网络攻击、无需认证、无需用户交互。仅影响可用性
影响: 未经认证的远程攻击者可使设备重启，造成拒绝服务
披露: 2026年10月28日（UTC），最终版本1.0。在一次Cisco TAC支持案例中发现
利用情况: Cisco PSIRT称已知悉2026年10月出现利用；未提供利用者或范围的细节
变通方案: 无。临时缓解措施见上文第4步

NVD于当天收录了该CVE，状态为Received，仅有Cisco的评分。其记录还包含一条CISA协调方的评估，将利用情况列为“无”（10月28日22:45 UTC前后），这与Cisco的说法相冲突。请稍后再次查看，确认哪一个反映的是更新的信息。

与8月的CVE-2026-20349的关系

ASA和FTD上的同一个SSL VPN服务，在8月11日曾披露CVE-2026-20349（CVSS 8.6，构造的HTTP请求可使设备重启），Cisco称已知悉出现利用，CISA当天将其加入KEV。这是另一个漏洞，原因和条件都不同（本次是二次认证）。对防守方有两点提示：

Cisco称，它已看到针对同一类设备的两个无需登录即可使其重启的漏洞被利用，披露时间相隔约2.5个月（8月11日和10月28日）。请做好SSL VPN设备会重启的准备
修复版本不同，因此8月已打补丁的设备可能仍然不够。以ASA 9.18为例，8月的修复版本是9.18.4.94，而本次是9.18.4.96

尚不清楚的事项

项目	状态
实际利用情况	Cisco称已知悉；无细节
KEV收录	不在10月28日19:00 UTC发布的列表中
NVD评估	Received（仅有Cisco的评分）
日本公共机构的警示	我们的检查中未发现

信息来源

2026年10月29日查看。

Cisco，《Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability》（cisco-sa-asaftd-tunnel-dos-s6mgkb75，2026年10月28日）— cisco.com
NVD，CVE-2026-76418 — nvd.nist.gov
CISA，已知被利用漏洞目录 — cisa.gov
Cisco，《Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability》（cisco-sa-asaftd-vpn-dos-dzv4mQFF，CVE-2026-20349，2026年8月11日，9月16日更新）— cisco.com

更新记录

2026-10-29：首版，基于Cisco的公告（10月28日）、NVD和CISA的KEV列表。

FAQ

Q发生了什么？

2026年10月28日（UTC），Cisco披露了ASA和FTD远程访问SSL VPN中的CVE-2026-76418（CVSS 8.6）。未经认证的远程攻击者可使设备重启。原因是在隧道组上配置了二次认证时存在逻辑错误。Cisco称已知悉出现利用。

Q我的设备是否受影响？

据Cisco称，如果某个接口上启用了SSL VPN（webvpn）、SSL VPN登录服务可被访问，并且某个隧道组设置了secondary-authentication-server-group，则受影响。请检查每个组，包括登录页面上未显示的组和DefaultWEBVPNGroup。对于FTD，请在FMC或FDM中查看已部署的远程访问VPN策略。

Q攻击者能窃取数据或接管设备吗？

Cisco公告中提到的影响只有重启以及由此造成的拒绝服务。公告未描述代码执行或数据泄露。反复重启可能使VPN持续不可用（我们的判断），因此请尽快升级。

Q有变通方案吗？

没有。Cisco列出了临时缓解措施：如果DefaultWEBVPNGroup未使用二次认证，请运行no tunnel-group-list enable；如果使用了，请用no secondary-authentication-server-group将其移除，这会降低远程访问的安全性。Cisco表示应先测试，然后升级。

Q它在CISA的KEV目录中吗？

10月28日19:00 UTC发布的列表中没有它。Cisco称已知悉出现利用，但请直接查看CISA目录，了解之后是否有收录。