Cisco : une faille VPN exploitée permet de bloquer des pare-feu

Un pare-feu est normalement là pour empêcher les intrus de perturber un réseau informatique. Mais lorsqu'une faille permet de faire planter directement cet équipement de sécurité, les choses deviennent nettement moins rassurantes ! Cisco vient de publier un nouveau bulletin concernant ses pare-feu ASA et FTD, utilisés notamment par les entreprises pour sécuriser leurs réseaux et les connexions à distance.

Référencée CVE-2026-76418, cette vulnérabilité obtient une note de gravité de 8,6 sur 10. Et ce n'est pas simplement un problème découvert en laboratoire : Cisco confirme que des pirates l'exploitent déjà. Des correctifs sont disponibles depuis le 28 octobre 2026.

Un pare-feu qui redémarre sans prévenir

La faille se trouve dans le service SSL VPN de certains équipements Cisco. Pour ceux qui ne connaissent pas ce terme, un VPN permet notamment à un salarié de se connecter au réseau de son entreprise depuis son domicile ou lors d'un déplacement, en passant par une connexion sécurisée.

Le problème apparaît dans certaines configurations utilisant une authentification secondaire, c'est-à-dire une vérification supplémentaire prévue lors de la connexion. Une erreur dans la manière dont le pare-feu traite certaines demandes permet à un attaquant de provoquer son redémarrage.

Et le plus inquiétant, c'est qu'il n'a pas besoin de connaître un identifiant ou un mot de passe pour déclencher le problème. Une requête spécialement construite, envoyée vers le service VPN vulnérable, peut suffire.

Résultat : l'équipement redémarre et les connexions qu'il gère peuvent être interrompues. On parle alors de déni de service, ou DoS. Ce n'est pas une attaque destinée, dans le cas présent, à voler directement des fichiers ou à prendre le contrôle du pare-feu. Elle vise plutôt à empêcher le système de fonctionner normalement.

Imaginez une entreprise dont plusieurs centaines de salariés travaillent à distance. Si le pare-feu assurant leurs connexions VPN redémarre brutalement, voilà potentiellement tout ce petit monde déconnecté en même temps. Et si l'attaque se répète, la journée des équipes informatiques risque de devenir particulièrement longue !

Quels équipements Cisco sont concernés ?

La vulnérabilité touche certaines versions des logiciels Cisco Secure Firewall Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD). Il s'agit principalement de solutions professionnelles, et non d'une faille concernant indistinctement tous les routeurs ou appareils de la marque.

Trois conditions doivent être réunies : utiliser une version vulnérable, disposer d'un service VPN SSL accessible et avoir configuré l'authentification secondaire dans les profils de connexion concernés.

Cisco a notamment publié des versions corrigées pour les branches ASA 9.16, 9.18, 9.20, 9.22, 9.23 et 9.24, ainsi que pour plusieurs générations de FTD, de la version 7.0 à la 10.1. La version exacte à installer dépend de celle déjà utilisée et du matériel concerné.

Les administrateurs peuvent vérifier leur installation à l'aide du bulletin de sécurité officiel de Cisco, qui fournit la liste des versions corrigées et les indications permettant de déterminer si un équipement est exposé.

Une mise à jour à installer sans tarder

La situation est suffisamment sérieuse pour que Cisco recommande expressément l'installation des correctifs. Le constructeur indique avoir été informé d'une exploitation active de la vulnérabilité au cours du mois d'octobre 2026, sans préciser publiquement le nombre d'organisations touchées.

Il existe certaines mesures temporaires permettant de réduire l'exposition, notamment en modifiant la configuration des profils VPN. Mais attention : désactiver l'authentification secondaire peut également affaiblir la protection des accès à distance. Mieux vaut donc éviter toute modification improvisée et privilégier l'installation des versions corrigées.

Cette affaire rappelle une réalité parfois oubliée : les équipements chargés de protéger nos réseaux sont eux-mêmes des ordinateurs, avec leurs logiciels et leurs vulnérabilités. Un pare-feu installé il y a plusieurs années ne devient pas automatiquement invulnérable simplement parce qu'il porte le nom d'un grand spécialiste de la sécurité.

Et lorsqu'une faille est déjà exploitée, attendre la prochaine période de maintenance peut devenir un pari risqué. Entre la nécessité de protéger rapidement les systèmes et celle de ne pas interrompre les activités d'une entreprise pendant une mise à jour, les administrateurs doivent parfois choisir le moins mauvais moment. Cette fois, Cisco leur donne une bonne raison de ne pas trop repousser l'opération.