思科新型防火墙零日漏洞正遭积极利用

Remote Access SSL VPN服务中的缺陷使攻击者能够远程使设备崩溃；目前没有变通方案，但已有补丁可用。

思科安全防火墙自适应安全设备（ASA）和思科安全防火墙威胁防御（FTD）的Remote Access SSL VPN服务中存在一个高严重性漏洞，该漏洞正遭到积极利用，可导致受影响设备崩溃。

这个漏洞被追踪编号为CVE-2026-76418，严重程度评分为8.6，思科在其安全公告中表示，该漏洞源于在隧道组上配置二次认证时出现的逻辑错误。攻击者无需经过身份验证，即可远程发送精心构造的请求，在用户连接SSL远程访问VPN时触发此漏洞，导致设备重启，进而造成拒绝服务。

受影响的产品

该公告指出：”如果运行配置中包含webvpn关键字，并且至少在一个接口上启用了SSL VPN，则该配置存在漏洞。如果配置了tunnel-group-list enable，需检查所有隧道组（包括默认隧道组DefaultWEBVPNGroup）是否配置了secondary-authentication-server-group。如果未配置tunnel-group-list enable，或已通过no tunnel-group-list enable命令移除该配置，则需检查默认隧道组DefaultWEBVPNGroup是否使用了二次认证，因为禁用组列表并不能消除默认组使用二次认证时所带来的风险暴露。”

该公司表示目前没有变通方案。

思科已在Secure Firewall ASA 9.16.4.104、9.18.4.96、9.20.4.50、9.22.3.200、9.23.1.48、9.24.1.27和9.24.10.1版本中发布了修复程序。

Secure FTD的修补版本为7.0.11、7.2.13、7.4.9、7.6.7、7.7.14、10.0.3和10.1.1。

为帮助客户识别受影响的产品，思科提供了Cisco Software Checker工具，该工具可识别受安全公告影响的软件，并返回修复相关缺陷的最早发行版本。

缓解措施

思科敦促客户立即进行更新，但同时也为该漏洞提供了一项临时缓解措施：在用户配置的隧道组列表或默认隧道组DefaultWEBVPNGroup上禁用二次认证。

不过，该公司也警告称：”尽管此缓解措施已经部署，并在测试环境中证明有效，但客户仍应根据自身环境和使用条件，判断其适用性和有效性。客户应意识到，鉴于各自部署场景和局限性的差异，所实施的任何变通方案或缓解措施都可能对其网络的功能性、性能和/或安全状况产生负面影响。”