Cisco ASA／FTD SSL VPN DoS 漏洞遭利用 管理員應優先更新
iThome 報道，Cisco Secure Firewall ASA 與 FTD 的 SSL VPN 服務存在 CVE-2026-76418，高風險評分為 CVSS 8.6，Cisco 已發現漏洞正遭實際利用。未經身分驗證的攻擊者若能接觸登入服務，可透過特製請求令防火牆意外重新啟動，造成遙距存取及相關邊界服務中斷。
這是一項阻斷服務（DoS）風險，報道沒有指出漏洞可讓攻擊者執行遙距程式碼、登入設備或讀取資料。因此，處理優先度雖然高，事故溝通亦應準確聚焦於服務可用性與業務連續性，避免把影響描述成已確認的入侵或資料外洩。
哪些部署要先檢查
iThome 指出，漏洞並非影響所有 ASA 或 FTD 部署，需同時符合以下條件：
- SSL VPN 登入服務可由外部連線；
- Tunnel Group 已設定 Secondary Authentication。
換言之，負責 ASA／FTD 的 IT 及資安團隊，應先盤點互聯網可達的 SSL VPN 入口，再檢視各 Tunnel Group，以及預設 DefaultWEBVPNGroup 的次要驗證設定。符合兩項條件的設備，應列為優先處理目標；即使未符合，亦宜核對現有配置，避免因設定變更而引入暴露面。
更新優先於臨時設定變更
iThome 報道指 Cisco 建議盡快套用軟件更新，並稱沒有完整的替代緩解方案。報道沒有列出受影響版本或對應修補版本，管理員不應只按產品名稱推斷狀態，應以 Cisco 的官方安全公告及本身安裝版本確認可套用的修補版本，再依既有變更流程部署。
若未能即時更新，Cisco 提供的臨時做法是在所有相關 Tunnel Group，或預設 DefaultWEBVPNGroup，停用 Secondary Authentication。這可移除報道所述的漏洞觸發條件，但代價是減少一層認證防護。對依賴次要驗證加強遙距登入安全的機構而言，這項措施只適合作為短期風險取捨；實施前應評估帳戶保護、登入監察及復原安排，並在更新完成後重新檢視認證政策。
由於漏洞已見被利用跡象，使用 ASA／FTD 提供 SSL VPN 的團隊，接下來應留意 Cisco 是否補充受影響版本範圍、修補安排及利用活動細節，並把外網 VPN 配置與異常重啟紀錄納入優先檢查項目。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 思科修補防火牆已遭積極利用的阻斷服務漏洞 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
