🔌 Cisco ASA/FTD: второй zero-day в VPN с августа. Атакующие не взламывают VPN — они его просто выключают

Коллеги, классика жанра: «у нас VPN отвалился» — «перезагрузите роутер». Только теперь ваш пограничный шлюз перезагружают снаружи. Без спроса и пароля.

📌 ФАКТЫ
CVE-2026-76418 (CVSS 8.6) — критическая уязвимость в подсистеме SSL VPN / AnyConnect на платформах Cisco ASA и Firepower Threat Defense (FTD)

Позволяет неаутентифицированному удалённому атакующему отправить специально сформированные запросы и вызвать крах процесса с аварийной циклической перезагрузкой всего устройства (Denial of Service)

Под ударом конфигурации шлюзов, где настроена вторичная аутентификация (Secondary Authentication / 2FA)

Дыру активно эксплуатируют в дикой природе как zero-day. Это уже второй боевой 0-day в коде VPN-шлюзов Cisco с начала августа

CISA оперативно включила вектор в каталог обязательных к закрытию угроз CISA KEV

🛠 АУДИТ КОНФИГУРАЦИИ (CLI Cisco ASA)
Plaintext

# 1. Проверяем установленную версию софта
show version | include Version

# 2. Ищем признаки опасной связки: tunnel-group с двойной аутентификацией
show running-config tunnel-group | include secondary

# 3. Анализируем дампы падений и причину последнего ребута
show crashinfo | include Uptime|reload
show logging | include reload|Reload

Если в выводе присутствует директива secondary-authentication-server-group, хост находится в зоне прямого риска.

Сверяйте версии с официальным security advisory вендора: исправления выкачены для линеек 9.16, 9.18, 9.20 и соответствующих релизов FTD.

😅 ЖИЗНЕННОЕ
Внезапный ребут ASA в разгар рабочего дня гарантирует мгновенный взрыв всех корпоративных чатов: сотни удалёнщиков синхронно теряют сессии, RDP и телефонию.

Если пограничный маршрутизатор внезапно «устал» и перезагрузился в 3 часа ночи — это не плавающий аппаратный глюк памяти, а веский повод немедленно лезть в crashinfo и логи сислога.

💡 В ЧЁМ СУТЬ

Вектор DoS на периметровом шлюзе — это не просто «временный обрыв связи». В сценариях таргетированных атак принудительный ребут фаервола используется для:

Принудительного разрыва сессий и перехвата хэндшейков при повторном подключении;

Создания дымовой завесы («пока админы чинят упавший шлюз, внутри тихо эксфильтруют БД»);

Обхода механизмов failover/HA, если ноды падают по очереди.

Алерт в мониторинге на изменение аптайма периметра и лог

SYS-1-611103

(Device reload) — базовая гигиена любого сетевого инженера.

#cisco #asa #vpn #firewall #zeroday #юмор #sysadmin #admin_future