思科／官方：ASA／FTD SSL VPN 零日 CVE-2026-76418 野外利用——未授權請求可令防火牆重載

重點摘要

思科於二零二六年十月二十八日發布安全公告，修補 Secure Firewall ASA 與 FTD 軟件 Remote Access SSL VPN 的高危拒絕服務漏洞 CVE-2026-76418（CVSS 8.6）；該公司 PSIRT 同月已確認野外利用，未授權攻擊者可觸發設備重載。本文已核對思科官方安全公告，來源真實性已驗證。

思科／官方：ASA／FTD SSL VPN 零日 CVE-2026-76418 野外利用——未授權請求可令防火牆重載

思科於二零二六年十月二十八日發布安全公告，修補 Secure Firewall ASA 與 FTD 軟件 Remote Access SSL VPN 的高危拒絕服務漏洞 CVE-2026-76418（CVSS 8.6）；該公司 PSIRT 同月已確認野外利用，未授權攻擊者可觸發設備重載。本文已核對思科官方安全公告，來源真實性已驗證。

思科／官方：ASA／FTD SSL VPN 零日 CVE-2026-76418 野外利用——未授權請求可令防火牆重載

思科（Cisco）於二零二六年十月二十八日十九時十五分（GMT）公開安全公告，指出 Secure Firewall Adaptive Security Appliance（ASA）軟件與 Secure Firewall Threat Defense（FTD）軟件的 Remote Access SSL VPN 服務存在邏輯錯誤：當通道群組（tunnel group）配置了二次驗證時，未授權遠端攻擊者只要向 SSL 遠端存取 VPN 送出特製請求，即可令受影響設備非預期重載，造成拒絕服務（DoS）。來源真實性已驗證：漏洞編號、CVSS、受影響條件、緩解與修復版本，一律以思科 Product Security Incident Response Team（PSIRT）公告為準；BleepingComputer、SecurityWeek 等媒體僅作發現與交叉核對，不以二手轉述改寫關鍵數字。

一、核心事件：野外利用中的 SSL VPN 通道 DoS

公告將漏洞追蹤為 CVE-2026-76418，基礎 CVSS 3.1 評分為 8.6（AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H），嚴重程度標為 High，Cisco Bug ID 為 CSCwx26625。漏洞成因是通道群組啟用二次驗證時的邏輯錯誤；攻擊路徑位於 SSL remote access VPN 連線過程，成功登入 VPN 並非觸發條件。

受影響前提同時包括：裝置運行有漏洞的 ASA 或 FTD 版本、SSL 遠端存取 VPN 登入服務可達，以及相關 tunnel group 範圍內配置了二次驗證。若執行設定含 webvpn 關鍵字，且至少一個介面啟用 SSL VPN（webvpn enable <interface_name>），即屬公告所指的脆弱配置。若已啟用 tunnel-group-list enable，須檢查所有通道群組（含預設的 DefaultWEBVPNGroup）是否設有 secondary-authentication-server-group；即使關閉群組清單，只要預設群組仍用二次驗證，暴露亦未消除。

思科確認以下產品不受影響：Cloud-delivered Firewall（CDFW）、Cloud-delivered Firewall Management Center（cdFMC）、Secure Access（CSA）、Secure FMC Software。

PSIRT 在公告「Exploitation and Public Announcements」一節寫明：二零二六年十月已得悉此漏洞遭主動利用，並強烈建議客戶升級至已修復版本。公告未公開攻擊者身分、受害組織或 IOC。漏洞由 Eric Fernald 在處理思科 TAC 支援個案期間發現。

二、技術原理與修補／緩解

技術細節

SSL VPN 在處理連線與二次驗證相關路徑時出現邏輯錯誤，令特製請求可走到會導致設備重載的程式路徑。影響面是可用性（A:H），公告未將此 CVE 描述為機密性或完整性破壞、亦未聲稱可借此直接取得遠端程式碼執行；營運後果仍極嚴重——防火牆／VPN 閘道重載等於遠端員工與站對站通道瞬間中斷，並可能在重啟窗口留下其他攻擊面。

無正式 workaround，僅有臨時緩解

公告明確：沒有可徹底解決此漏洞的 workaround。臨時緩解是關閉相關通道群組上的二次驗證，或在預設群組未用二次驗證時停用 tunnel group list：

  • 情況一：DefaultWEBVPNGroup 未使用二次驗證——在 WebVPN 設定模式執行 no tunnel-group-list enable，用戶將不能從清單揀選連線設定檔，須自行知道正確 profile。
  • 情況二：DefaultWEBVPNGroup 有二次驗證——以 no secondary-authentication-server-group 移除二次驗證；公告提醒此舉會降低遠端存取 VPN 的安全態勢。

思科強調緩解只經測試環境驗證，客戶須自行評估對功能與風險的影響，並以升級為正途。

已修復版本（摘自公告）

ASA 軟件首次修復版本： 9.16 及更早 → 9.16.4.104；9.18 → 9.18.4.96；9.20 → 9.20.4.50；9.22 → 9.22.3.200；9.23 → 9.23.1.48；9.24 → 9.24.1.27 或 9.24.10.1。

FTD 軟件首次修復版本： 7.0 及更早 → 7.0.11；7.2 → 7.2.13；7.4 → 7.4.9；7.6 → 7.6.7；7.7 → 7.7.14；10.0 → 10.0.3；10.1 → 10.1.1。

客戶應以 Cisco Software Checker 對照自身版本與平台，並按對應升級指南執行；FTD 多經 FMC／FDM 管理遠端存取 VPN 政策，須同時核對已部署政策與裝置 running config。

三、產業脈絡（非代幣議題）

此漏洞與二零二六年十月二十八日已報道的思科開源 Project Quarry（AI 代理防禦）屬不同產品線與事件。媒體交叉指，這是八月 CVE-2026-20349（同樣可經 SSL VPN 路徑觸發未授權重載）之後，又一次 ASA／FTD VPN 相關零日 DoS；更早亦有針對 ASA／FTD 的其他野外利用個案與政府緊急指令。BleepingComputer 引述 Shadowserver 監測，指目前互聯網上暴露的 Cisco ASA SSL VPN 裝置超過五萬一千台——該數字反映暴露面規模，並不代表全部易受 CVE-2026-76418 影響或均非蜜罐。對依賴 SSL VPN 的企業而言，重點是：可達的登入面＋二次驗證配置＋未修補版本 三重條件一旦齊備，可用性風險即屬即時。

四、日常應用場景

1. 開發者與技術團隊

負責網絡與平台的工程師應立即用 Software Checker 盤點 ASA／FTD 版本，確認哪些 tunnel group 啟用二次驗證，並安排維護窗升級。若短期無法升級，須評估關閉二次驗證或 tunnel group list 對 MFA／身分流程的衝擊，並加強 VPN 登入面的網絡層限制（例如僅允許已知出口、WAF／速率限制不取代原廠修補）。

2. 企業與隱私敏感行業

金融、醫療、法律與製造業常用 Cisco ASA／FTD 作為遠端辦公與分站互連閘道。設備重載會直接切斷遠端桌面、程式庫存取與監控通道；即使漏洞本身被歸類為 DoS，營運中斷窗口仍可能被濫用於社交工程或其他攻擊。變更管理應把「VPN 閘道可用性」與「身分二次驗證」一併寫進事故劇本，避免為求上線而長期關閉二次驗證。

3. 一般用戶

一般員工較少接觸防火牆版本號，但會感受到 VPN 突然斷線、需重連或長時間無法入內網。若公司發出緊急維護通知，應依官方渠道核對，提防釣魚「假升級」電郵。

4. 香港與亞洲市場視角

香港大量中小企與跨國分公司仍以 SSL VPN 讓員工由家居或內地／東南亞出差點接入總部系統。思科設備在亞洲企業網絡極常見；野外利用意味著「等下一個維護週」可能不夠。本地團隊應核對：VPN 是否直接暴露於公網、是否啟用二次驗證、備份通道（例如零信任應用代理、分拆管理面）是否就緒。若正規劃雲端遷移、美國 VPS／多雲與零信任分段，宜把「遠端存取面縮小＋可觀測」列為與版本升級同等優先。

五、專業評價與潛在考量

優勢

  • 官方同日交代 CVE、CVSS、受影響條件、明確「無 workaround」、分版本修復表與不受影響產品清單，資訊可核對、可執行。
  • PSIRT 公開承認十月野外利用，迫使營運團隊把優先級拉到緊急而非例行補丁。
  • 緩解指引區分兩種 tunnel group 情境，減少「一律關二次驗證」的一刀切誤傷（但仍提醒關二次驗證會降安全態勢）。

需要留意的地方

  • 公告未提供 IOC、攻擊者或受害名單；防守端不能只靠特徵偵測，必須以升級與配置盤點為主。
  • 臨時關閉二次驗證會削弱身分保證，只適合極短過渡；長期依賴緩解等於用可用性換另一類風險。
  • Shadowserver「逾五萬一千」為暴露面統計，易受 CVE 實際影響的比例未在思科公告中給出，不宜誇大成「五萬台已被打穿」。
  • 此 CVE 描述為 DoS／重載，讀者勿與其他思科 RCE 或郵件閘道漏洞混為同一事件；修補清單仍須按設備角色逐一對照。

結語

CVE-2026-76418 再次提醒：企業遠端存取面若把 SSL VPN 直接暴露在公網，單一邏輯錯誤即可變成全公司「上不了班」的可用性事故——何況思科已確認野外利用。香港團隊應立刻對照 ASA／FTD 版本與二次驗證配置，以官方修復版為準完成升級，並重新審視 VPN 暴露面與零信任替代路徑。若需要把雲端遷移、防火牆規則、VPN／零信任通道與異地備份一次理順，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security 。

參考來源

延伸閱讀 · 相關服務與產品

相關文章