Sans même un compte, des pirates coupent le VPN des pare-feu Cisco en les faisant redémarrer

Le pare-feu redémarre sans prévenir, et les connexions VPN de toute l'entreprise tombent avec lui. Pas besoin de compte pour obtenir ce résultat : une requête bien préparée envoyée à la page de connexion du VPN suffit. Le 28 octobre, Cisco a publié un avis sur cette faille, CVE-2026-76418, et indique que des attaquants l'exploitent déjà.

Elle touche les logiciels Secure Firewall ASA et Secure Firewall Threat Defense (FTD), avec une note de 8,6 sur 10. Un attaquant distant, sans identifiants, pourrait provoquer le redémarrage de l'appareil, et donc une interruption de service. D'après l'avis, l'attaque coupe le réseau mais n'y donne pas accès.

Quels pare-feu sont concernés ?

Selon Cisco, trois conditions doivent être réunies : une version non corrigée, un service de connexion au VPN SSL joignable, et au moins un profil de connexion (« tunnel group ») configuré avec une authentification secondaire, c'est-à-dire un deuxième serveur d'authentification. Il n'est pas nécessaire de réussir à se connecter pour déclencher le bug.

Pour vérifier, Cisco conseille de chercher la commande webvpn avec enable sur une interface, puis secondary-authentication-server-group dans les profils, y compris le profil par défaut DefaultWEBVPNGroup. Ne sont pas touchés : Secure Firewall Management Center, les offres de pare-feu et de gestion livrées dans le cloud, et Secure Access.

Qui attaque, et depuis quand ?

Cisco dit avoir appris l'exploitation en octobre 2026, sans publier d'indicateur de compromission ni nommer d'attaquant. La faille a été repérée par Eric Fernald lors d'un dossier du support technique de Cisco.

C'est la deuxième faille de ce genre en quelques mois. En août, Cisco avait déjà corrigé CVE-2026-20349, elle aussi exploitée pour faire redémarrer des ASA et FTD par le VPN SSL, rappelle SecurityWeek, qui ignore si les mêmes attaquants sont derrière. L'organisation Shadowserver suit plus de 51 000 pare-feu ASA dont le VPN SSL est exposé sur Internet, selon BleepingComputer. Cisco avait déjà dû corriger ce mois-ci une faille exploitée de sa passerelle de messagerie.

Que faire ?

Le VPN est la porte d'entrée des télétravailleurs : des redémarrages répétés suffisent à paralyser une équipe. Cisco recommande d'installer une version corrigée :

• ASA : 9.16.4.104 (pour 9.16 et antérieures), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 et 9.24.10.1 ;
• FTD : 7.0.11 (pour 7.0 et antérieures), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1.

Aucun contournement ne corrige la faille. En attendant, Cisco décrit une mesure temporaire. Si le profil par défaut n'utilise pas l'authentification secondaire, on peut masquer la liste des profils (no tunnel-group-list enable) ; les utilisateurs doivent alors connaître le nom exact de leur profil. Sinon, il faut retirer l'authentification secondaire (no secondary-authentication-server-group), ce qui affaiblit la sécurité du VPN, prévient l'éditeur.

Reste à savoir qui exploite ces failles à répétition, et dans quel but. Cisco n'en dit rien pour l'instant.