Des attaquants exploitent activement deux vulnérabilités critiques dans les services VPN des pare-feu Cisco ASA et FTD. Ces failles permettent à des acteurs externes de faire planter les dispositifs par déni de service (DoS) sans nécessiter aucune authentification préalable. Cisco a publié des correctifs pour ces problèmes, qui ciblent le service SSL VPN d’accès à distance.
La première faille, référencée sous le CVE-2026-20349, est apparue en août. Elle résulte d’une insuffisance de contrôle d’erreurs lors du traitement des requêtes HTTP. En envoyant une requête HTTP spécialement conçue, un attaquant peut forcer le redémarrage inattendu de l’appareil. Selon les données CISA KEV, cette faille est exploitée activement et affiche un score CVSS de 8,6. Plus récemment, Cisco a corrigé le CVE-2026-76418. Celle-ci est plus spécifique : elle tire son origine d’erreurs logiques affectant les groupes de tunnels configurés avec une authentification secondaire. L’exploitation nécessite que le pare-feu soit vulnérable, que le service SSL VPN soit accessible et que la configuration spécifique soit en place. Là encore, un attaquant peut provoquer un arrêt du service.
Ce qui est touché et la gravité réelle
Il faut bien comprendre que ces failles ne sont pas de simples problèmes de logique applicative. Elles mettent en jeu directement la disponibilité du service. Pour le CVE-2026-20349, l’exploitation est purement à distance et ne requiert aucune identification valide. De même, pour le CVE-2026-76418, Cisco précise qu’« un succès de connexion VPN n’est pas nécessaire pour atteindre le chemin de traitement affecté », ce qui souligne le caractère critique de ces portes d’entrée non sécurisées. Ces failles sont donc des vecteurs directs de paralysie pour les infrastructures.
Cisco a confirmé que ses offres en cloud – Secure Access et Secure Firewall Management Center – ne sont pas concernées par ces failles, ce qui permet de délimiter le champ d’action des équipes de sécurité. Néanmoins, l’impact sur un périmètre réseau est maximal : le service VPN, souvent la passerelle principale vers les employés distants, est mis hors service.
Que faire maintenant
La recommandation de Cisco est claire et non négociable : les clients doivent migrer immédiatement vers les versions logicielles corrigées. Contrairement à d’autres failles, aucune solution de contournement n’est disponible pour ces deux CVE. Les seuls moyens mentionnés par le fournisseur pour réduire l’exposition sont temporaires et conditionnels aux paramètres des groupes de tunnels, comme désactiver la liste des groupes de tunnels ou supprimer l’authentification secondaire, mais l’éditeur avertit que cela affaiblit la sécurité du VPN distant.
L’action requise passe par la mise à jour vers les versions spécifiées dans les avis de sécurité. Par exemple, pour l’ASA, les versions 9.16.4.103 ou ultérieures sont mentionnées comme incluant le correctif. Surveiller l’évolution de ces vulnérabilités reste de mise, car l’existence d’une seconde faille DoS dans les mois qui suivent rappelle une exposition continue des équipements de sécurité.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-20349 | Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) | Élevée (CVSS 8,6) | Oui (KEV, 11 août 2026) | Voir l’avis de l’éditeur |
| CVE-2026-76418 | — | Élevée (CVSS 8,6) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August, SecurityWeek, 29 octobre 2026
- New Cisco firewall zero-day exploited to crash SSL VPN devices, BleepingComputer, 29 octobre 2026
- Avis de sécurité (sec.cloudapps.cisco.com), sec.cloudapps.cisco.com, 11 août 2026
- GHSA-8x4j-5v9x-9frv : A vulnerability in the Remote Access SSL VPN service for Cisco Secure Firewall Adaptive…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-20349, NVD (NIST)
- CVE-2026-20349 dans le catalogue KEV, CISA
- GHSA-3whv-82g3-5cwx : A vulnerability in the Remote Access SSL VPN service of Cisco Secure Firewall Adaptive…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-76418, NVD (NIST)