Cisco ASA et FTD : une faille VPN exploitée pour couper vos pare-feu

Votre pare-feu est la porte d'entrée de tout votre système d'information. Et pour beaucoup d'entreprises, c'est aussi lui qui porte le VPN de vos collaborateurs en télétravail. Le 28 octobre, Cisco a publié un correctif pour une faille de ses pare-feu Secure Firewall ASA et FTD qui est déjà exploitée par des attaquants.

La vulnérabilité CVE-2026-76418 permet à un attaquant, sans compte et à distance, de faire redémarrer l'équipement. Le pare-feu tombe, et avec lui les connexions qui le traversent.

Ce que l'on sait

D'après l'avis de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, publié le 28 octobre 2026, et la presse spécialisée (The Hacker News, Network World) :

• Produits : Cisco Secure Firewall Adaptive Security Appliance (ASA) et Cisco Secure Firewall Threat Defense (FTD).
• Composant : le service VPN d'accès distant SSL (Remote Access SSL VPN).
• Gravité : CVSS 3.1 de 8,6 sur 10. L'attaque se fait à distance, sans authentification et sans action d'un utilisateur. Cisco précise qu'une connexion VPN réussie n'est pas nécessaire pour atteindre le code vulnérable.
• Impact : un redémarrage inattendu de l'équipement, donc un déni de service. Cisco ne fait état ni d'exécution de code ni de vol de données.
• Cause : des erreurs de logique lorsque l'authentification secondaire est configurée sur un groupe de tunnels (tunnel group).
• Exploitation : Cisco indique avoir eu connaissance d'une exploitation active de la faille en octobre 2026. L'éditeur ne donne aucun détail sur les attaquants, les cibles ou l'ampleur des attaques.
• Contournement : selon Cisco, aucun contournement ne corrige la vulnérabilité. Une mesure d'atténuation existe, décrite plus bas.

Ce n'est pas un cas isolé. En août, Cisco avait déjà signalé l'exploitation active de CVE-2026-20349, une autre faille de déni de service sur le VPN SSL des mêmes équipements, reprise par le CERT-FR dans son avis CERTFR-2026-AVI-1010. Deux failles exploitées sur le même service en moins de trois mois : les VPN des pare-feu Cisco sont clairement dans le viseur.

Êtes-vous concerné ?

Selon Cisco, trois conditions doivent être réunies :

1. une version d'ASA ou de FTD non corrigée ;
2. le VPN d'accès distant SSL activé : la configuration contient le mot-clé `webvpn` et le VPN SSL est actif sur au moins une interface ;
3. une authentification secondaire configurée (`secondary-authentication-server-group`) sur un groupe de tunnels concerné.

Attention au piège signalé par Cisco : si la commande `tunnel-group-list enable` est présente, il faut vérifier tous les groupes de tunnels, y compris le groupe par défaut `DefaultWEBVPNGroup`. Et désactiver la liste de groupes ne supprime pas l'exposition si ce groupe par défaut utilise lui-même l'authentification secondaire.

Cisco indique que ne sont pas concernés : Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Cisco Secure Access et Secure Firewall Management Center.

Pourquoi c'est grave pour une entreprise

Un déni de service peut sembler moins inquiétant qu'une prise de contrôle. Sur un pare-feu, c'est différent :

• la coupure est totale : quand l'équipement redémarre, les flux qu'il protège sont interrompus, y compris les accès des collaborateurs à distance ;
• l'attaque est répétable : rien n'empêche un attaquant de relancer l'opération à chaque redémarrage, tant que le correctif n'est pas appliqué ;
• l'équipement est exposé par nature : le portail VPN est fait pour être joignable depuis Internet, donc par n'importe qui.

Pour une entreprise qui dépend de ses accès distants, de ses sites reliés ou de ses services en ligne, c'est une interruption d'activité qu'un attaquant peut déclencher à volonté.

Les versions corrigées

Selon Cisco, premières versions corrigées :

• ASA : 9.16.4.104 (9.16 et antérieures), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 et 9.24.10.1
• FTD : 7.0.11 (7.0 et antérieures), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1

Cisco recommande de confirmer la version adaptée à chaque équipement avec son outil Cisco Software Checker.

Les mesures à prendre maintenant

1. Inventorier vos pare-feu Cisco. Recensez chaque ASA et FTD, sa version, et vérifiez si le VPN SSL et l'authentification secondaire sont configurés. N'oubliez pas les équipements gérés par un prestataire.
2. Mettre à jour en priorité. Planifiez la mise à jour vers une version corrigée, en commençant par les équipements exposés sur Internet. Le redémarrage nécessaire est bien moins coûteux qu'une coupure subie.
3. Appliquer l'atténuation si la mise à jour attend. Cisco propose de désactiver l'authentification secondaire : `no tunnel-group-list enable` si le groupe par défaut ne l'utilise pas, sinon `no secondary-authentication-server-group`. Cisco prévient que cela réduit le niveau de sécurité de l'authentification VPN : c'est une mesure temporaire, à arbitrer.
4. Surveiller les redémarrages. Un redémarrage inattendu d'un pare-feu ces dernières semaines mérite une analyse, et une alerte doit être prévue pour les prochains.
5. Prévoir la continuité. Une haute disponibilité et une procédure de secours pour les accès distants limitent l'impact de ce type d'attaque.

Notre regard

Les équipements de bordure, pare-feu et passerelles VPN, concentrent depuis plusieurs années une grande partie des failles exploitées. Ils sont exposés, critiques, et souvent mis à jour moins vite que les postes de travail parce qu'on hésite à les redémarrer. Lors de nos tests d'intrusion externes, la surface exposée sur Internet et le niveau de mise à jour de ces équipements font partie des premiers points que nous examinons.

Si vous voulez savoir ce qu'un attaquant voit aujourd'hui de votre périmètre, contactez-nous.