Cisco ASA 與 FTD SSL VPN 漏洞遭野外利用讓防火牆重啟的 DoS（CVE-2026-76418，CVSS 8.6）

發生了什麼

想像你管理一台 Cisco ASA 防火牆，提供 SSL VPN 讓員工遠端存取公司網路。為了提高安全性，你配置了次要認證：使用者先用 LDAP 登入、再用 OTP 二次驗證。

某天早上，VPN 使用者開始抱怨無法連線。你檢查防火牆，發現它剛剛重啟。你重開機，過幾分鐘又斷。日誌裡沒有明顯的錯誤，只有設備重啟的紀錄。你不知道的是，遠端攻擊者發現你的 SSL VPN 配置了次要認證，正在發送特製請求讓防火牆持續重啟。

2026 年 10 月 29 日，Cisco 發布修補，解決 Secure Firewall ASA 與 FTD 軟體的高嚴重性漏洞（CVE-2026-76418，CVSS 8.6）。未經認證的遠端攻擊者可讓設備意外重啟，造成 DoS（denial-of-service）。

來源:本文整理自 The Hacker News 於 2026 年 10 月 29 日發布的報導，原始資訊來自 Cisco 於同日發布的安全 advisory。原文連結，原文發布日期為 2026 年 10 月 29 日。

Cisco 證實 2026 年 10 月已有野外利用，但未透露攻擊開始時間、攻擊者身分或攻擊規模。

漏洞細節：次要認證的邏輯錯誤

漏洞位置與觸發條件

漏洞位於 ASA 與 FTD 軟體的 Remote Access SSL VPN 服務。

Cisco 在週三的 advisory 中說：「此漏洞源於 tunnel group 配置次要認證時的邏輯錯誤。攻擊者可在連線到 SSL remote access VPN 時發送特製請求來利用此漏洞。成功的利用可讓攻擊者讓受影響設備重啟，造成 DoS 狀態。」

受影響的設備條件

Cisco 設備受影響若符合以下條件：

1. 執行易受攻擊的 ASA Software 或 FTD Software 版本
2. SSL remote access VPN login service 可被到達
3. 在 tunnel group scope 配置次要認證（secondary authentication）

如何檢查是否配置次要認證

Cisco 提供詳細的檢查指令：

如果配置了 tunnel-group-list enable，檢查所有 tunnel group（包括預設的 DefaultWEBVPNGroup）是否有 secondary-authentication-server-group。

如果 tunnel-group-list enable 不存在或已用 no tunnel-group-list enable 移除，只檢查預設 tunnel group DefaultWEBVPNGroup 是否有 secondary-authentication-server-group，因為停用 group list 不會在該預設 group 使用次要認證時移除曝險。

在 FTD 上，Cisco 說：「在 Cisco Secure FMC Software 或 Cisco Secure FDM 中檢視已部署的 remote access VPN policy 與產生的設備 running configuration。成功的 VPN 登入不是到達受影響處理路徑的必要條件。」

修補版本

Cisco 為受影響的版本釋出修補：

ASA Software

FTD Software

臨時緩解措施

Cisco 建議客戶採用以下臨時緩解措施：

1. 若 DefaultWEBVPNGroup 不使用次要認證，關閉 tunnel group list
2. 或在任何使用者配置的 tunnel group list 或 DefaultWEBVPNGroup 上停用次要認證

野外利用的未知細節

Cisco 只說「在 2026 年 10 月注意到此漏洞的主動利用」，但未分享：

• 攻擊何時開始
• 攻擊者是誰
• 攻擊的規模

這種保密可能代表：

1. 攻擊仍在進行中
2. 受影響的客戶數量敏感
3. 攻擊者身分涉及國家級行為者
4. Cisco 仍在調查

無論原因為何，任何符合受影響條件的設備都應假設可能已被攻擊或正在被掃描。

相關揭露：UAT-11473 攻擊 SD-WAN

報導同時提到 Cisco 揭露的另一個威脅：精密的 APT 行為者 UAT-11473 武器化 CVE-2026-20127（Cisco SD-WAN Catalyst Controller 的認證繞過漏洞），繞過認證並未授權存取受影響系統。

該活動針對太空與衛星服務、國防與航太科技、政策研究部門，評估與 Volt Typhoon 的 Silent Train 隱蔽網路有基礎設施重疊。

UAT-11473 安裝名為 KeyDrift 的客製化惡意軟體框架，包含多個元件（例如 PolyFlame 與 LittleFilch），用於收集敏感金鑰資訊、作為後門與中繼 C2 主機。

Cisco Talos 說：「框架設計為提供長期持久存取並自動外洩敏感金鑰材料。KeyDrift 在 SD-WAN 控制平面程序內運作，能夠攔截解密的控制流量、提取控制 session metadata 與資料平面金鑰材料，並使用加密紀錄暫存或傳輸收集的材料。」

這揭露顯示 Cisco 設備正被多個威脅行為者積極針對，且某些行為者具備開發客製化惡意軟體框架的能力。

你可以學到什麼

站在攻擊者的角度：我發現 Cisco 防火牆的 SSL VPN 有個漏洞，只要 tunnel group 配置次要認證，我發送特製請求就能讓防火牆重啟。我不需要帳號密碼，不需要通過第一道或第二道認證。我可以掃描網際網路上所有 Cisco ASA / FTD 的 SSL VPN 端點，篩選出有次要認證的，然後一直發送請求讓它們持續重啟。你的 VPN 使用者會持續斷線、無法遠端工作、IT 部門會疲於奔命。Cisco 說 10 月已有野外利用但不肯說是誰、什麼時候、打了多少台，代表可能還在進行中。

如果你使用 Cisco ASA 或 FTD 的 SSL VPN

1. 立即檢查版本與配置：確認是否受影響（版本 + 次要認證 + VPN 可到達）。
2. 若受影響且 VPN 可從網際網路到達，視為緊急：Cisco 說 10 月已有野外利用，代表掃描與攻擊可能正在進行。
3. 優先升級：修補版本已釋出，升級是最佳解法。
4. 若無法立即升級，套用臨時緩解：關閉 tunnel group list 或停用次要認證（但要評估對安全性的影響）。
5. 檢視歷史日誌：查看 10 月以來是否有異常的設備重啟，可能代表已被攻擊。
6. 監控 Cisco 的進一步公告：Cisco 可能會在調查完成後透露更多野外利用的細節。

關於野外利用的保密

Cisco 不透露攻擊細節可能有多種原因，但對管理員來說，最安全的假設是攻擊仍在進行中且規模可能很大。

如果你的設備符合受影響條件且 VPN 可從網際網路到達，今天就檢查並修補。DoS 攻擊不會竊取你的資料，但會讓你的遠端工作者無法工作、讓 IT 部門疲於應對，並可能是更大型攻擊的掩護或前置動作。