Faille Cisco ASA et FTD CVE-2026-76418 : VPN SSL exploité, versions à installer

La réponse courte : une faille du VPN SSL d’accès distant des pare-feu Cisco Secure Firewall ASA et Secure Firewall Threat Defense (FTD), référencée CVE-2026-76418, permet à un attaquant distant, sans identifiants, de faire redémarrer l’équipement. Elle ne concerne que les pare-feu sur lesquels une authentification secondaire est configurée dans un groupe de tunnels. Cisco l’a corrigée le 28 octobre 2026 et confirme une exploitation active ; la CISA l’a ajoutée à son catalogue des vulnérabilités exploitées et le maCERT de la DGSSI a publié une alerte le 29 octobre. Il faut installer la version corrigée de votre branche, et appliquer en attendant la mesure d’atténuation décrite par Cisco.

Au Maroc, on trouve encore des ASA et des FTD dans des entreprises qui les utilisent pour le télétravail via le client Cisco Secure Client (ex-AnyConnect). Un redémarrage provoqué à distance coupe à la fois le VPN et l’accès Internet de tout le site. Voici ce que disent Cisco, la CISA et le maCERT, et ce qu’il faut faire.

Ce qui est touché

Selon l’avis de sécurité Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, un pare-feu est exposé si les trois conditions suivantes sont réunies :

1. il fonctionne avec une version ASA ou FTD touchée ;
2. le service de connexion VPN SSL d’accès distant est joignable (mot-clé webvpn présent dans la configuration et VPN SSL activé sur au moins une interface ; pour FTD, l’accès distant est défini dans FMC ou FDM) ;
3. une authentification secondaire (secondary-authentication-server-group) est configurée sur un groupe de tunnels.

Cisco insiste sur deux points. D’abord, si la liste des groupes de tunnels est activée, il faut contrôler tous les groupes, y compris DefaultWEBVPNGroup, et pas seulement ceux affichés sur la page de connexion. Ensuite, désactiver cette liste ne supprime pas l’exposition si le groupe par défaut utilise une authentification secondaire. Enfin, aucune connexion VPN réussie n’est nécessaire pour atteindre le code vulnérable.

Produit	Versions touchées	Première version corrigée
Cisco ASA 9.16 et antérieures	antérieures à 9.16.4.104	9.16.4.104
Cisco ASA 9.18	antérieures à 9.18.4.96	9.18.4.96
Cisco ASA 9.20	antérieures à 9.20.4.50	9.20.4.50
Cisco ASA 9.22	antérieures à 9.22.3.200	9.22.3.200
Cisco ASA 9.23	antérieures à 9.23.1.48	9.23.1.48
Cisco ASA 9.24	antérieures à 9.24.1.27	9.24.1.27 ou 9.24.10.1
Cisco FTD 7.0 et antérieures	antérieures à 7.0.11	7.0.11
Cisco FTD 7.2	antérieures à 7.2.13	7.2.13
Cisco FTD 7.4	antérieures à 7.4.9	7.4.9
Cisco FTD 7.6	antérieures à 7.6.7	7.6.7
Cisco FTD 7.7	antérieures à 7.7.14	7.7.14
Cisco FTD 10.0	antérieures à 10.0.3	10.0.3
Cisco FTD 10.1	antérieures à 10.1.1	10.1.1

Source : avis Cisco publié le 28 octobre 2026 (bug CSCwx26625). Cisco renvoie aussi à son outil Cisco Software Checker pour confirmer l’exposition d’une version précise. Ne sont pas concernés, selon Cisco : Cloud-delivered Firewall, cdFMC, Cisco Secure Access et Secure Firewall Management Center.

Gravité et exploitation

• Nature de la faille : erreurs de logique lorsque l’authentification secondaire est configurée sur un groupe de tunnels (CWE-690). Une requête forgée envoyée lors de la connexion au VPN SSL provoque un rechargement inattendu de l’équipement, donc un déni de service.
• Gravité publiée par Cisco : élevée, score CVSS 3.1 de 8.6, sans impact sur la confidentialité ni sur l’intégrité.
• Exploitation confirmée : Cisco indique avoir eu connaissance d’une exploitation active en octobre 2026, sans détailler les attaquants ni l’ampleur.
• Catalogue CISA KEV : ajout le 29 octobre 2026, avec une échéance au 1er novembre pour les agences fédérales américaines, déjà dépassée.
• maCERT : le bulletin 70222910/26 du 29 octobre 2026, « Vulnérabilité critique affectant Cisco ASA et FTD activement exploitée », classe le risque et l’impact au niveau critique et renvoie à l’avis de Cisco pour les mises à jour.

Un déni de service peut sembler moins grave qu’une prise de contrôle. Mais sur un pare-feu périmétrique, chaque redémarrage coupe le site entier, les liaisons inter-sites et les télétravailleurs, et l’attaque peut être répétée tant que la faille reste ouverte.

Les mesures d’attente, si la mise à jour doit attendre

Cisco précise qu’aucun contournement ne corrige la faille. Il décrit une atténuation temporaire, qui dépend de la configuration du groupe par défaut :

1. Si DefaultWEBVPNGroup n’utilise pas d’authentification secondaire : désactiver la liste des groupes de tunnels (no tunnel-group-list enable en mode de configuration WebVPN).
2. Si DefaultWEBVPNGroup utilise une authentification secondaire : retirer celle-ci de ce groupe (no secondary-authentication-server-group).

Cisco avertit que ces réglages réduisent le niveau de sécurité du VPN : ils doivent rester provisoires et être annulés après la mise à jour. Avant de les appliquer, sauvegardez la configuration et prévenez les utilisateurs nomades, dont la méthode de connexion peut changer.

Les vérifications à faire

• Inventorier tous les ASA et FTD, y compris les pare-feu de secours, de sites distants ou de reprise d’activité, avec leur version exacte et leur branche.
• Repérer ceux qui exposent le VPN SSL d’accès distant sur une interface tournée vers Internet.
• Passer en revue chaque groupe de tunnels, DefaultWEBVPNGroup compris, pour savoir lesquels utilisent une authentification secondaire.
• Contrôler les redémarrages récents : un rechargement inexpliqué depuis octobre doit être analysé. L’avis de Cisco ne publie pas d’indicateurs de compromission pour cette faille.
• Vérifier la version après mise à jour sur chaque nœud, y compris l’unité passive d’une paire en haute disponibilité.

Notre lecture pour les entreprises au Maroc

L’authentification secondaire est souvent ajoutée pour renforcer le VPN, par exemple avec un second facteur. Cette faille montre qu’une fonction de sécurité peut elle-même ouvrir une porte : la réponse n’est pas de renoncer à l’authentification forte, mais de mettre à jour vite et de suivre les bulletins de l’éditeur. Elle rappelle aussi qu’un pare-feu qui porte à la fois le VPN et l’accès Internet est un point unique de panne.

Pour aller plus loin, consultez notre guide d’achat du pare-feu d’entreprise au Maroc, notre guide sur le VPN d’entreprise, l’IPsec et le ZTNA, notre méthode de gestion des correctifs, nos conseils sur l’authentification multifacteur et notre plan de réponse à incident pour la première heure. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter les bulletins du maCERT. Une alerte récente touchait aussi un autre VPN d’accès distant : la faille Ivanti Connect Secure CVE-2026-111357.

Comment nous pouvons vous aider

Nous inventorions vos pare-feu et vos passerelles d’accès distant, vérifions leur exposition, appliquons la mesure d’atténuation si nécessaire et planifions la mise à jour en dehors des heures de travail. Si le renouvellement du pare-feu est envisagé, nous comparons les solutions avec vous. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis de sécurité Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, alerte CISA du 29 octobre 2026, catalogue CISA KEV, maCERT : bulletin 70222910/26, NVD CVE-2026-76418, Cisco Software Checker.