Cisco ASA 與 FTD 釋出高嚴重度 SSL VPN DoS 漏洞

Cisco ASA and FTD: High-Severity SSL VPN DoS Vulnerability Disclosed

2026年10月29日

Cisco 已披露一個高嚴重度的拒絕服務（DoS）漏洞，影響其 Secure Firewall Adaptive Security Appliance（ASA）和 Firepower Threat Defense（FTD）軟體。追蹤號為 CVE-2026-76418，該漏洞的 CVSS v3.1 分數為 8.6，可能允許未經身份驗證的遠端攻擊者迫使受影響的防火牆意外重新載入。

於 2026年10月28日發布的安全通告指出 Remote Access SSL VPN 服務中的弱點。依賴 Cisco 防火牆提供遠端連線的組織應評估其設定並優先進行修復。

什麼是 CVE-2026-76418？

該漏洞源於 Remote Access SSL VPN 服務中，在為隧道組設定次級驗證時的邏輯錯誤。

攻擊者可以在啟動 SSL VPN 連線時傳送特製請求。若裝置執行受影響的軟體版本且具備必要設定，處理該請求可能會觸發意外的裝置重新載入。

成功的攻擊可能中斷遠端連線，並幹擾受影響防火牆所提供的網路安全服務。

該漏洞被歸類於 CWE-690，涉及未檢查的回傳值。Cisco 已釋出軟體更新以修補此問題，並表示沒有任何迴避方法能完全解決該漏洞。

攻擊如何運作？

攻擊針對 SSL VPN 連線處理路徑，而非需要已驗證的 VPN 會話。

流程簡單：

辨識暴露服務：攻擊者尋找可達的 Remote Access SSL VPN 端點，可能位於易受影響的 Cisco 防火牆上。
針對易受影響的設定：防火牆必須使用受影響的軟體版本，並在相關隧道組中設定次級驗證。
傳送特製請求：攻擊者於 SSL VPN 連線過程中提交特製請求。
觸發失敗：請求處理中的邏輯錯誤可能導致防火牆意外重新載入。
中斷連線：重新載入會打斷防火牆運作，可能造成拒絕服務。

由於不需要驗證，攻擊者不必擁有有效的 VPN 憑證即可觸及易受影響的處理路徑。

實際影響取決於受影響的部署，包括其 VPN 設定以及依賴防火牆的網路服務。

哪些 Cisco 產品受影響？

CVE-2026-76418 影響 Cisco Secure Firewall ASA 和 FTD 軟體，當存在易受影響的版本與設定條件時。

暴露需要以下條件：

裝置執行受影響的 ASA 或 FTD 軟體版本。
Remote Access SSL VPN 服務已啟用且可達。
次級驗證已在相關隧道組中設定。

管理員應檢視預設的 DefaultWEBVPNGroup 以及使用者設定的隧道組。即使停用隧道組列表，若預設隧道組仍使用次級驗證，仍可能存在暴露。

Cisco 確認 Cloud-delivered Firewall、Cloud-delivered Firewall Management Center、Secure Access 及 Secure Firewall Management Center 軟體不受此特定漏洞影響。

已修復的軟體版本

Cisco 已發布以下已修復的版本。

Cisco Secure Firewall ASA

9.16 及以前版本：升級至 9.16.4.104.
9.18 版本：升級至 9.18.4.96.
9.20 版本：升級至 9.20.4.50.
9.22 版本：升級至 9.22.3.200.
9.23 版本：升級至 9.23.1.48.
9.24 版本：升級至 9.24.1.27 或 9.24.10.1.

Cisco Secure Firewall FTD

7.0 及以前版本：升級至 7.0.11.
7.2 版本：升級至 7.2.13.
7.4 版本：升級至 7.4.9.
7.6 版本：升級至 7.6.7.
7.7 版本：升級至 7.7.14.
10.0 版本：升級至 10.0.3.
10.1 版本：升級至 10.1.1.

這些是 Cisco 建議書中列出的第一批已修正版本。管理員應在部署前確認適當的升級路徑與軟體相容性。

Cisco 亦描述了一項臨時緩解措施，即停用受影響隧道組的次級身份驗證。若適用，管理員應評估此選項與其身份驗證需求及運營風險的關係。此措施不應視為升級至已修正版本的替代方案。