CVE-2026-76418 a été publiée par NVD le 28 octobre 2026. La CISA l'a ajoutée au catalogue KEV dès le lendemain, le 29 octobre, avec une échéance au 1er novembre.
Ce n'est pas une exécution de code : c'est un déni de service. Un attaquant non authentifié envoie une requête forgée au VPN SSL d'accès distant d'un pare-feu Cisco Secure Firewall ASA ou FTD, et l'équipement redémarre. Sur un pare-feu périmétrique, cela coupe à la fois le VPN des télétravailleurs et tout le trafic qui le traverse.
Cisco enchaîne les entrées au KEV cet automne : CVE-2026-76504 sur Catalyst SD-WAN Manager fin septembre, CVE-2026-76519 sur Secure Email Gateway mi-octobre, et maintenant le VPN de ses pare-feu.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-76418 |
| CVSS 3.1 (Cisco, CNA) | 8.6 (HIGH) — AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H |
| Type | Valeur de retour non vérifiée menant à un déréférencement de pointeur NULL (CWE-690) |
| Composant | Service VPN SSL d'accès distant (Remote Access SSL VPN) |
| Produits | Cisco Secure Firewall ASA Software, Cisco Secure Firewall Threat Defense (FTD) Software |
| Publication NVD | 2026-10-28 |
| Statut NVD | Undergoing Analysis |
| Ajout CISA KEV | 2026-10-29 |
| Échéance CISA | 2026-11-01 |
Description NVD (extrait) :
This vulnerability is due to logic errors when secondary authentication is configured on a tunnel group. An attacker could exploit this vulnerability by sending a crafted request when connecting to the SSL remote access VPN.
La condition qui compte : l'authentification secondaire
La faille ne touche pas tous les VPN SSL. Elle se déclenche quand un tunnel group (profil de connexion) est configuré avec une authentification secondaire : une deuxième source d'authentification en plus de la première, par exemple un annuaire puis un serveur RADIUS.
C'est une configuration courante dans les organisations qui ont durci leur accès distant. Ironie de la situation : ce sont précisément elles qui sont exposées.
Pour savoir si tu es concerné, cherche secondary-authentication-server-group dans la configuration :
show running-config tunnel-group | include tunnel-group|secondary-authentication
Sur FTD géré par FMC, la même option se trouve dans la politique VPN d'accès distant, au niveau du profil de connexion.
Pourquoi 8.6 et pas plus
Le vecteur est celui d'un déni de service pur : C:N/I:N/A:H, aucune fuite ni modification de données. Le S:C (portée modifiée) reflète que le redémarrage du pare-feu affecte bien au-delà du service VPN : tout le trafic qui transite par l'équipement est interrompu.
Pourquoi un DoS finit au KEV
Un déni de service est souvent relégué en bas de pile. Mais un pare-feu qui redémarre à la demande, c'est :
- un VPN indisponible pour tous les utilisateurs distants, aussi longtemps que l'attaquant renvoie la requête ;
- une coupure périmétrique si l'équipement n'est pas en haute disponibilité ;
- et, de façon plus générale, un moyen de perturber pendant qu'une autre action est menée ailleurs, ou de provoquer des bascules HA répétées.
NVD et la CISA ne décrivent pas les attaques observées. L'entrée au KEV signifie seulement que l'exploitation est constatée.
Versions affectées
NVD ne publie pas encore de configuration CPE pour cette CVE (statut Undergoing Analysis) : aucune borne de version n'est disponible côté NVD. La liste des versions vulnérables et des versions corrigées se trouve dans l'advisory Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75.
Cisco fournit aussi le Cisco Software Checker, qui indique pour une version donnée d'ASA ou de FTD quelles advisories s'appliquent et la première version corrigée.
Vérifier ta version :
show version
Détection
- Redémarrages inattendus des pare-feu ASA ou FTD depuis fin octobre :
show versiondonne l'uptime et la raison du dernier redémarrage - Fichiers de crash (
show crashinfo) générés autour de ces redémarrages - Bascules de haute disponibilité sans cause identifiée
- Tentatives de connexion VPN SSL anormales ou répétées depuis les mêmes adresses juste avant un redémarrage
Mitigation
1. Mettre à jour vers la version corrigée indiquée par Cisco
L'échéance CISA est le 1er novembre. Le Software Checker donne la version cible pour ta branche.
2. En attendant
- Vérifier si l'authentification secondaire est réellement configurée : si aucun tunnel group ne l'utilise, la condition décrite par NVD n'est pas réunie (à confirmer dans l'advisory Cisco)
- Ne pas désactiver l'authentification secondaire sans peser le risque : retirer un facteur d'authentification du VPN pour éviter un DoS est un mauvais échange. L'advisory Cisco indique s'il existe un contournement officiel
- S'assurer que la haute disponibilité est en place et fonctionnelle pour limiter l'impact d'un redémarrage
3. Après la mise à jour
Surveiller l'uptime des équipements pendant les jours qui suivent pour confirmer que les redémarrages ont cessé.
Pourquoi surveiller en continu tes pare-feu
Un jour entre la publication et l'entrée au KEV, trois jours d'échéance : sur un parc de pare-feu, il faut savoir immédiatement quelle version d'ASA ou de FTD tourne sur chaque équipement pour tenir ce rythme.
Avec cveo.tech, inventorie tes pare-feu Cisco avec leur version exacte et reçois une alerte dès qu'une CVE qui les concerne est publiée ou entre au catalogue CISA KEV.