Faille Cisco ASA CVE-2026-76418 : votre VPN peut faire tomber le pare-feu
Le pare-feu Cisco qui protège votre bureau sert peut-être aussi de porte d’entrée au VPN de vos employés en télétravail. Le 28 octobre 2026, Cisco a publié un correctif pour une faille de ce service VPN, déjà exploitée par des attaquants. Elle porte le numéro CVE-2026-76418 et touche les logiciels Secure Firewall ASA et Secure Firewall Threat Defense (FTD).
Le lendemain, l’agence américaine CISA l’a ajoutée à son catalogue des vulnérabilités exploitées et a donné aux agences fédérales américaines jusqu’au 1er novembre pour corriger. Un délai de trois jours, c’est le signal qu’il ne faut pas attendre la prochaine fenêtre d’entretien. Voici comment savoir en quelques minutes si votre faille Cisco ASA est exploitable, et quoi faire.
Ce que permet la faille Cisco ASA CVE-2026-76418
Selon l’avis de Cisco, un attaquant non authentifié, à distance, peut envoyer une requête forgée au service de VPN SSL d’accès à distance et faire redémarrer l’appareil. C’est une attaque par déni de service : pas de vol de données décrit, mais un pare-feu qui tombe. Cisco précise qu’une connexion VPN réussie n’est même pas nécessaire pour atteindre le code fautif.
Pour une PME, l’effet est concret : pendant le redémarrage, les employés à distance perdent leur VPN, et tout ce qui passe par ce pare-feu est interrompu. Un attaquant qui répète la requête peut faire durer la panne. Cisco a classé la faille « élevée », avec un score CVSS de 8,6.
BleepingComputer rapporte que la Shadowserver Foundation suit plus de 51 000 appareils Cisco ASA dont le VPN SSL est exposé sur Internet. Et selon SecurityWeek, c’est la deuxième faille zero-day de déni de service dans le VPN des pare-feu ASA et FTD exploitée depuis août.
Votre pare-feu est-il exposé? Trois questions
La faille ne touche pas toutes les installations. Cisco décrit une combinaison précise : une version vulnérable, le VPN SSL d’accès à distance activé, et une authentification secondaire configurée dans un groupe de tunnel (tunnel group). Suivez l’arbre :
🧭 Suis-je concerné par CVE-2026-76418?
Attention à un piège relevé par Cisco : la vérification ne se limite pas aux profils affichés dans la liste de la page de connexion. Et désactiver la liste de groupes ne suffit pas si le groupe par défaut, DefaultWEBVPNGroup, utilise lui-même l’authentification secondaire.
Ne sont pas touchés, selon Cisco : Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Cisco Secure Access et le logiciel Secure FMC.
Les versions corrigées
Cisco recommande fortement la mise à jour. Repérez votre branche et notez la version installée dans la dernière colonne :
En attendant la mise à jour : deux atténuations, avec leurs limites
Il n’existe pas de contournement complet. Cisco décrit deux mesures temporaires, à tester avant de les appliquer :
⏪ Cas 1 : DefaultWEBVPNGroup n’utilise pas d’authentification secondaire
- En mode de configuration WebVPN :
no tunnel-group-list enable. - Effet : les utilisateurs ne choisissent plus leur profil dans une liste; ils doivent connaître le bon profil de connexion.
- À prévoir : une courte note aux employés qui se connectent à distance.
⏩ Cas 2 : DefaultWEBVPNGroup utilise l’authentification secondaire
- Retirer l’authentification secondaire avec
no secondary-authentication-server-group. - Effet : la sécurité du VPN est réduite, Cisco le dit clairement.
- À réserver au court terme, avec une date de mise à jour déjà fixée.
Dans les deux cas, gardez une trace de la configuration d’origine pour la remettre après la mise à jour.
Pourquoi les pare-feu VPN sont devenus une cible prioritaire
Les équipements exposés sur Internet, comme les VPN et les pare-feu, sont visés parce qu’ils sont joignables par tous et rarement mis à jour aussi vite que les postes. Nous l’avons vu avec la faille GlobalProtect de Palo Alto, la faille Ivanti Connect Secure et FortiBleed chez Fortinet. Cisco avait aussi corrigé récemment une faille de sa passerelle de courriel.
La leçon est la même : tenir un inventaire des appareils exposés, connaître leur version, et avoir un plan pour les mettre à jour en quelques jours, pas en quelques mois.
Comment NeoTech peut vous aider
Notre équipe de soutien aux réseaux d’entreprise vérifie la configuration VPN de vos pare-feu Cisco et planifie la mise à jour en dehors des heures de travail. Nos services de cybersécurité tiennent l’inventaire de vos équipements exposés, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale un pare-feu qui redémarre ou un VPN qui tombe.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble si votre pare-feu et votre VPN sont exposés à cette faille, et dans quel ordre corriger.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Cisco — Remote Access SSL VPN Tunnel Denial of Service Vulnerability (cisco-sa-asaftd-tunnel-dos-s6mgkb75), 28 octobre 2026 (en anglais)
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-76418) (en anglais)
- BleepingComputer — New Cisco firewall zero-day exploited to crash SSL VPN devices (en anglais)
- SecurityWeek — Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August (en anglais)
- CSO Online — New Cisco firewall zero-day being actively exploited (en anglais)
Photo : Brett Sayles, Pexels (licence Pexels).