VPN SSL Cisco: faille exploitée, parade d'urgence (CVE-2026-76418)
Déni de service activement exploité sur la VPN SSL des pare-feu Cisco ASA et FTD, au KEV depuis le 29 octobre. Versions corrigées et parade temporaire.
Qui est touché
- Cisco Secure Firewall ASA software antérieur aux versions corrigées 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 et 9.24.10.1
- Cisco Secure Firewall Threat Defense (FTD) software antérieur aux versions corrigées 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1
- Tout équipement dont un groupe de tunnel SSL VPN (DefaultWEBVPNGroup compris) est configuré avec une authentification secondaire et joignable depuis un réseau atteignable par des attaquants
Comment corriger
Mettre à niveau ASA et FTD vers la version corrigée de la branche déployée, listée dans l'avis Cisco du 28 octobre 2026. En attendant: retirer l'authentification secondaire de tous les groupes de tunnel, y compris DefaultWEBVPNGroup. Restreindre l'accès VPN aux adresses et plages réellement nécessaires, et journaliser les rechargements inexpliqués de l'équipement. Faire confirmer par écrit le correctif par tout prestataire managé qui exploite le coupe-feu de l'hôtel.
Ce qui s'est passé
L'avis Cisco publié le 28 octobre 2026 décrit une faille de déni de service dans le service Remote Access SSL VPN des logiciels ASA et Secure Firewall Threat Defense. Un attaquant distant non authentifié envoie une requête façonnée à un groupe de tunnel configuré avec une authentification secondaire; une valeur de retour non vérifiée conduit à un déréférencement de pointeur NULL (CWE-690) et l'équipement se recharge. Cisco qualifie la faille de niveau élevé, 8,6 en CVSS 3.1, exploitée à distance sans aucun compte et sans interaction; le NVD reprend la même note. La CISA a ajouté la faille à son catalogue KEV le 29 octobre 2026, avec remédiation exigée des agences fédérales américaines au 1er novembre, signe d'une exploitation active documentée. Le Centre pour la cybersécurité du Canada signale en complément des composants Smart Software Manager On-Prem antérieurs à la mouture 10-202610 dans son avis AV26-1102.
Pourquoi c'est grave pour un hôtel
Le VPN SSL d'un coupe-feu ASA ou FTD, c'est la porte par laquelle la direction générale, l'administration corporate, le prestataire de maintenance et parfois la propriété elle-même rejoignent le réseau de l'établissement: PMS (logiciel de gestion hôtelière), caisse, contrôle d'accès, supervision. Une exploitation active signifie que cette frontière est sondée en ce moment même. L'impact annoncé est un rechargement de l'équipement: coupure des accès VPN, donc du travail à distance, avec remise en cause possible de la redondance si le basculement est mal calibré. C'est aussi un écran de fumée redoutable: un firewall qui redémarre peut masquer une intrusion menée par ailleurs.
Qui est touché
- ASA software antérieurs aux correctifs 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27, 9.24.10.1.
- FTD software antérieurs aux correctifs 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1.
- Condition d'exposition: au moins un groupe de tunnel (DefaultWEBVPNGroup inclus) avec authentification secondaire activée, et service VPN joignable.
Comment corriger
- Identifier la branche logicielle déployée sur chaque ASA ou FTD et comparer à la liste des versions corrigées de l'avis Cisco.
- Mettre à niveau dès que le créneau le plus court le permet; la fenêtre de maintenance trimestrielle n'est pas un calendrier compatible avec une faille au KEV.
- En attendant le correctif, retirer l'authentification secondaire de tous les groupes de tunnel, DefaultWEBVPNGroup compris: c'est la parade communiquée par Cisco, pas un correctif.
- Restreindre les politiques d'accès VPN aux plages indispensables et couper tout accès résiduel de prestataires inactifs.
- Journaliser et investiguer tout rechargement inexpliqué de l'équipement depuis le 28 octobre 2026.
- Si le coupe-feu est exploité en service managé, exiger une confirmation écrite du correctif installé, numéro de version à l'appui.
Contexte
La faille s'inscrit dans une semaine noire pour les périmètres réseau: Palo Alto Networks a confirmé le 28 octobre une exploitation de PHP2Shell contre ses propres interfaces d'administration exposées, et Cisco Talos publiait le même jour le framework KeyDrift, posé par un groupe lié à Volt Typhoon sur des contrôleurs SD-WAN via CVE-2026-20127. Le message aux équipes hôtel est le même: les équipements de périmètre et de WAN sont des cibles de premier plan, leur administration ne doit jamais être exposée, et leurs correctifs ne se discutent pas au prochain changement de saison.