防暴筆記BREACH NOTES

Cisco ASA 與 FTD SSL VPN 漏洞遭野外利用
讓防火牆重啟的 DoS（CVE-2026-76418，CVSS 8.6）

速讀：5 分鐘掌握重點

為什麼現在很紅：Cisco 防火牆的 SSL VPN 有個漏洞，攻擊者不需要帳號密碼，只要發送一個特製請求，防火牆就會重啟。你的 VPN 連線斷掉、使用者抱怨無法遠端工作、你重開機後過幾分鐘又斷。Cisco 說 10 月已有野外利用但不肯說是誰、什麼時候、打了多少台。

一句話結論
Cisco 於 2026 年 10 月 29 日發布修補，解決 Secure Firewall ASA 與 FTD 軟體 Remote Access SSL VPN 服務的高嚴重性漏洞（CVE-2026-76418，CVSS 8.6）。未經認證的遠端攻擊者可讓設備意外重啟，造成 DoS。Cisco 證實 2026 年 10 月已有野外利用，但未透露攻擊開始時間、攻擊者身分、規模或目標。
他要的是什麼
我發現 Cisco 防火牆的 SSL VPN 有個漏洞，只要 tunnel group 配置次要認證，我發送特製請求就能讓防火牆重啟。我不需要帳號密碼，不需要通過第一道或第二道認證。我可以一直發送請求，讓你的防火牆持續重啟、你的 VPN 使用者持續斷線。
你今天做一件事
檢查你的 Cisco ASA / FTD 版本，確認是否受影響。檢查 tunnel group 是否配置次要認證（show run tunnel-group | grep secondary-authentication-server-group）。若受影響且 VPN 可從網際網路到達，立即升級或套用臨時緩解措施。Cisco 說 10 月已有野外利用，但不肯說細節，代表可能還在進行中。 直接去做 →
哪些能信
6 可證明1 推論5 缺口 每個主張都標了等級，缺口是誠實寫出來的。
破口速查
受害端一律去識別化；寫「未公開」代表公開資料查不到。
伺服器服務商
執行 Cisco Secure Firewall ASA Software 或 FTD Software、啟用 SSL remote access VPN 且配置次要認證的設備
網路服務商
攻擊者透過網路發送特製 SSL VPN 連線請求
漏洞出現的地方
Remote Access SSL VPN 服務的邏輯錯誤，當 tunnel group 配置次要認證時，攻擊者連線時發送特製請求可觸發設備重啟
馬上自我檢測
檢查 Cisco ASA / FTD 版本是否受影響 檢查 SSL remote access VPN 是否可從網際網路到達 檢查 tunnel group 是否配置次要認證（secondary-authentication-server-group） 檢視設備重啟日誌，尋找異常的重啟事件
漏洞修補方式
升級至修補版本（ASA 9.16.4.104、9.18.4.96、9.20.4.50、9.22.3.200、9.23.1.48、9.24.1.27 / 9.24.10.1；FTD 7.0.11、7.2.13、7.4.9、7.6.7、7.7.14、10.0.3、10.1.1） 臨時緩解：若 DefaultWEBVPNGroup 不使用次要認證，關閉 tunnel group list；或在任何使用者配置的 tunnel group list 或 DefaultWEBVPNGroup 上停用次要認證
有 15 分鐘再看：其餘 2 點
  1. 漏洞源於 tunnel group 配置次要認證時的邏輯錯誤。攻擊者在連線到 SSL remote access VPN 時發送特製請求即可觸發。受影響的設備必須：執行易受攻擊的 ASA / FTD 版本、SSL remote access VPN login service 可被到達、在 tunnel group scope 配置次要認證。Cisco 提供詳細的檢查指令與條件說明。
  2. 修補版本涵蓋 ASA 9.16–9.24 與 FTD 7.0–10.1 的所有受影響版本。Cisco 提供臨時緩解措施：若 DefaultWEBVPNGroup 不使用次要認證則關閉 tunnel group list，或在任何使用者配置的 tunnel group list 或 DefaultWEBVPNGroup 上停用次要認證。報導同時揭露 APT 行為者 UAT-11473 武器化 CVE-2026-20127（Cisco SD-WAN Catalyst Controller 認證繞過），攻擊太空、衛星、國防、政策研究部門，部署 KeyDrift 惡意軟體框架收集敏感金鑰資料。

Cisco 修補 Secure Firewall ASA 與 FTD 軟體的 SSL VPN 漏洞（CVE-2026-76418，CVSS 8.6），未經認證的遠端攻擊者可讓防火牆意外重啟，造成 DoS。Cisco 證實 2026 年 10 月已有野外利用，但未透露攻擊開始時間、攻擊者身分或規模。漏洞源於配置次要認證的 tunnel group 的邏輯錯誤，攻擊者發送特製請求即可觸發。修補版本已釋出，Cisco 也提供臨時緩解措施。

Cisco ASA 與 FTD SSL VPN 漏洞野外利用（CVE-2026-76418，2026 年 10 月觀測）·2026 年 10 月觀測到野外利用 → 2026-10-29 Cisco 發布修補與 advisory·全文 6 分鐘
本篇目錄

發生了什麼

想像你管理一台 Cisco ASA 防火牆，提供 SSL VPN 讓員工遠端存取公司網路。為了提高安全性，你配置了次要認證：使用者先用 LDAP 登入、再用 OTP 二次驗證。

某天早上，VPN 使用者開始抱怨無法連線。你檢查防火牆，發現它剛剛重啟。你重開機，過幾分鐘又斷。日誌裡沒有明顯的錯誤，只有設備重啟的紀錄。你不知道的是，遠端攻擊者發現你的 SSL VPN 配置了次要認證，正在發送特製請求讓防火牆持續重啟。

2026 年 10 月 29 日，Cisco 發布修補，解決 Secure Firewall ASA 與 FTD 軟體的高嚴重性漏洞（CVE-2026-76418，CVSS 8.6）。未經認證的遠端攻擊者可讓設備意外重啟，造成 DoS（denial-of-service）。

來源:本文整理自 The Hacker News 於 2026 年 10 月 29 日發布的報導，原始資訊來自 Cisco 於同日發布的安全 advisory。原文連結，原文發布日期為 2026 年 10 月 29 日。

Cisco 證實 2026 年 10 月已有野外利用，但未透露攻擊開始時間、攻擊者身分或攻擊規模。

漏洞細節：次要認證的邏輯錯誤

漏洞位置與觸發條件

漏洞位於 ASA 與 FTD 軟體的 Remote Access SSL VPN 服務。

Cisco 在週三的 advisory 中說：「此漏洞源於 tunnel group 配置次要認證時的邏輯錯誤。攻擊者可在連線到 SSL remote access VPN 時發送特製請求來利用此漏洞。成功的利用可讓攻擊者讓受影響設備重啟，造成 DoS 狀態。」

受影響的設備條件

Cisco 設備受影響若符合以下條件：

  1. 執行易受攻擊的 ASA Software 或 FTD Software 版本
  2. SSL remote access VPN login service 可被到達
  3. 在 tunnel group scope 配置次要認證（secondary authentication）

如何檢查是否配置次要認證

Cisco 提供詳細的檢查指令：

如果配置了 tunnel-group-list enable，檢查所有 tunnel group（包括預設的 DefaultWEBVPNGroup）是否有 secondary-authentication-server-group。

如果 tunnel-group-list enable 不存在或已用 no tunnel-group-list enable 移除，只檢查預設 tunnel group DefaultWEBVPNGroup 是否有 secondary-authentication-server-group，因為停用 group list 不會在該預設 group 使用次要認證時移除曝險。

在 FTD 上，Cisco 說：「在 Cisco Secure FMC Software 或 Cisco Secure FDM 中檢視已部署的 remote access VPN policy 與產生的設備 running configuration。成功的 VPN 登入不是到達受影響處理路徑的必要條件。」

修補版本

Cisco 為受影響的版本釋出修補：

ASA Software

版本修補版本
9.16 及更早9.16.4.104
9.189.18.4.96
9.209.20.4.50
9.229.22.3.200
9.239.23.1.48
9.249.24.1.27 與 9.24.10.1

FTD Software

版本修補版本
7.0 及更早7.0.11
7.27.2.13
7.47.4.9
7.67.6.7
7.77.7.14
10.010.0.3
10.110.1.1

臨時緩解措施

Cisco 建議客戶採用以下臨時緩解措施：

  1. 若 DefaultWEBVPNGroup 不使用次要認證，關閉 tunnel group list
  2. 或在任何使用者配置的 tunnel group list 或 DefaultWEBVPNGroup 上停用次要認證

野外利用的未知細節

Cisco 只說「在 2026 年 10 月注意到此漏洞的主動利用」，但未分享：

  • 攻擊何時開始
  • 攻擊者是誰
  • 攻擊的規模

這種保密可能代表：

  1. 攻擊仍在進行中
  2. 受影響的客戶數量敏感
  3. 攻擊者身分涉及國家級行為者
  4. Cisco 仍在調查

無論原因為何，任何符合受影響條件的設備都應假設可能已被攻擊或正在被掃描。

相關揭露：UAT-11473 攻擊 SD-WAN

報導同時提到 Cisco 揭露的另一個威脅：精密的 APT 行為者 UAT-11473 武器化 CVE-2026-20127（Cisco SD-WAN Catalyst Controller 的認證繞過漏洞），繞過認證並未授權存取受影響系統。

該活動針對太空與衛星服務、國防與航太科技、政策研究部門，評估與 Volt Typhoon 的 Silent Train 隱蔽網路有基礎設施重疊。

UAT-11473 安裝名為 KeyDrift 的客製化惡意軟體框架，包含多個元件（例如 PolyFlame 與 LittleFilch），用於收集敏感金鑰資訊、作為後門與中繼 C2 主機。

Cisco Talos 說：「框架設計為提供長期持久存取並自動外洩敏感金鑰材料。KeyDrift 在 SD-WAN 控制平面程序內運作，能夠攔截解密的控制流量、提取控制 session metadata 與資料平面金鑰材料，並使用加密紀錄暫存或傳輸收集的材料。」

這揭露顯示 Cisco 設備正被多個威脅行為者積極針對，且某些行為者具備開發客製化惡意軟體框架的能力。

你可以學到什麼

站在攻擊者的角度：我發現 Cisco 防火牆的 SSL VPN 有個漏洞，只要 tunnel group 配置次要認證，我發送特製請求就能讓防火牆重啟。我不需要帳號密碼，不需要通過第一道或第二道認證。我可以掃描網際網路上所有 Cisco ASA / FTD 的 SSL VPN 端點，篩選出有次要認證的，然後一直發送請求讓它們持續重啟。你的 VPN 使用者會持續斷線、無法遠端工作、IT 部門會疲於奔命。Cisco 說 10 月已有野外利用但不肯說是誰、什麼時候、打了多少台，代表可能還在進行中。

lessons本案的 6 個教訓
  1. 01
    次要認證增加攻擊面：配置次要認證原本是為了提高安全性，但反而引入了讓攻擊者不需認證即可觸發 DoS 的漏洞。
  2. 02
    DoS 不需要認證或複雜 payload：攻擊者只需發送特製請求（內容未公開）即可讓防火牆重啟，無需通過任何認證。
  3. 03
    預設 tunnel group 也受影響：即使停用 tunnel group list，若 DefaultWEBVPNGroup 使用次要認證仍會受影響，許多管理員可能忽略這點。
  4. 04
    野外利用細節保密可能代表攻擊仍在進行：Cisco 不透露攻擊開始時間、攻擊者身分或規模，可能代表攻擊仍在持續或涉及敏感目標。
  5. 05
    Cisco 設備被多個威脅行為者針對：CVE-2026-76418（ASA/FTD DoS）與 CVE-2026-20127（SD-WAN 認證繞過）顯示 Cisco 設備是 APT 與opportunistic 攻擊者的共同目標。
  6. 06
    APT 開發客製化惡意軟體框架：UAT-11473 的 KeyDrift 框架能在 SD-WAN 控制平面內運作、攔截解密流量、收集金鑰材料，顯示國家級威脅的持久化與資料竊取能力。
keywords重點學習：最需要學習的 10 個關鍵字6 個
  1. 01
    CVE-2026-76418
    Cisco ASA 與 FTD SSL VPN 的 DoS 漏洞，CVSS 8.6，2026 年 10 月已有野外利用。
  2. 02
    次要認證（Secondary authentication）
    在 tunnel group 配置時會觸發漏洞，攻擊者發送特製請求即可讓設備重啟。
  3. 03
    DefaultWEBVPNGroup
    預設 tunnel group，即使停用 tunnel group list，若此 group 使用次要認證仍會受影響。
  4. 04
    UAT-11473
    精密 APT 行為者，武器化 CVE-2026-20127 攻擊 Cisco SD-WAN，與 Volt Typhoon 有基礎設施重疊。
  5. 05
    KeyDrift
    客製化惡意軟體框架，包含 PolyFlame 與 LittleFilch 元件，用於收集 SD-WAN 金鑰資訊與持久化存取。
  6. 06
    CVE-2026-20127
    Cisco SD-WAN Catalyst Controller 認證繞過漏洞，被 UAT-11473 用於攻擊太空、衛星、國防部門。
try today今天就可以來試試約 10 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 檢查 Cisco ASA / FTD 版本
    show version
    看到什麼代表什麼：確認版本是否在受影響範圍（ASA 9.16–9.24、FTD 7.0–10.1）且未修補。
  2. 檢查是否配置次要認證
    show run tunnel-group | grep secondary-authentication-server-group
    看到什麼代表什麼：若輸出有 secondary-authentication-server-group，代表受影響。
  3. 檢查 SSL VPN 是否可從網際網路到達
    看到什麼代表什麼：用外部網路嘗試存取 VPN 端點，或用 shodan/censys 搜尋組織的 IP 範圍。
  4. 檢視設備重啟日誌
    show logging | include reload
    看到什麼代表什麼：尋找異常的重啟事件，特別是 10 月以來的重啟。
  5. 若受影響且無法立即升級，套用臨時緩解
    no tunnel-group-list enable（若 DefaultWEBVPNGroup 不用次要認證）或 no secondary-authentication-server-group（在受影響的 tunnel group）
    看到什麼代表什麼：移除次要認證或關閉 tunnel group list，降低曝險（但也降低安全性）。
  6. 升級至修補版本
    看到什麼代表什麼：依上表升級 ASA 或 FTD 至修補版本（例如 ASA 9.24.1.27、FTD 10.1.1）。

如果你使用 Cisco ASA 或 FTD 的 SSL VPN

  1. 立即檢查版本與配置：確認是否受影響（版本 + 次要認證 + VPN 可到達）。
  2. 若受影響且 VPN 可從網際網路到達，視為緊急：Cisco 說 10 月已有野外利用，代表掃描與攻擊可能正在進行。
  3. 優先升級：修補版本已釋出，升級是最佳解法。
  4. 若無法立即升級，套用臨時緩解：關閉 tunnel group list 或停用次要認證（但要評估對安全性的影響）。
  5. 檢視歷史日誌：查看 10 月以來是否有異常的設備重啟，可能代表已被攻擊。
  6. 監控 Cisco 的進一步公告：Cisco 可能會在調查完成後透露更多野外利用的細節。

關於野外利用的保密

Cisco 不透露攻擊細節可能有多種原因，但對管理員來說，最安全的假設是攻擊仍在進行中且規模可能很大。

如果你的設備符合受影響條件且 VPN 可從網際網路到達，今天就檢查並修補。DoS 攻擊不會竊取你的資料，但會讓你的遠端工作者無法工作、讓 IT 部門疲於應對，並可能是更大型攻擊的掩護或前置動作。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 6 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

CiscoASAFTDSSL VPNCVE-2026-76418DoS野外利用次要認證
看完的心情
ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

§
對應課程模組

M2 弱點與修補管理 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。

延伸閱讀
newsletter
下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

← 上一份Gitee 公開 repo 洩漏 26,400 個仍有效的雲端與 AI 憑證9,473 個 Alibaba Cloud AccessKey、3,805 個 YouTube API 金鑰