Cisco ASA/FTD 零日漏洞 CVE-2026-76418 应急处置：SSL VPN 设备重启风险的核验与修复

2026 年 10 月 28 日，思科官方披露了针对 Cisco Secure Firewall Adaptive Security Appliance（ASA）与 Secure Firewall Threat Defense（FTD）软件的高危安全公告（Advisory ID: cisco-sa-asaftd-tunnel-dos-s6mgkb75），漏洞编号为 CVE-2026-76418，CVSS 3.1 评分高达 8.6。该漏洞存在于 Remote Access SSL VPN 服务中，当隧道组（tunnel-group）配置了二次身份验证（secondary authentication）时，存在处理逻辑缺陷。远程且未经身份认证的攻击者只需在建立 SSL VPN 连接时发送恶意构造的请求，即可触发设备内核异常崩溃并引发意外重启（Reload），造成持续性的拒绝服务（DoS）。由于思科 PSIRT 确认该漏洞已在野外遭实际利用，且官方明确不存在任何临时缓解措施（Workarounds），各团队必须立即展开资产核验与升级排期。

漏洞暴露面研判与受影响条件

判断企业网关是否处于 CVE-2026-76418 的攻击风险之下，需要同时满足“软件受影响”、“开启 SSL VPN 服务”以及“隧道组配置了二次认证”三个核心条件。

1. 软件版本与产品形态

漏洞影响运行 Cisco ASA 软件或 Cisco FTD 软件的物理硬件及虚拟化实例（如 ASA 5500-X 系列、Secure Firewall 1000/2100/3100/4200/9300 系列、ASAv 及 FTDv）。已确认受波及的软件主线包括：

• Cisco ASA 软件受影响主要分支（包含但不限于 9.16、9.18、9.19、9.20 等在维分支）。
• Cisco FTD 软件受影响主线涵盖 7.0、7.2、7.4 与 7.6 系列（如 7.0.x、7.2.x、7.4.x、7.6.x 的旧维护版本）。

2. 功能启用与隧道组配置核对

若仅运行上述版本但未对外开放 Remote Access SSL VPN，或者未在隧道组中配置二次身份验证，设备不会因该漏洞直接崩溃。管理员需登录网关 CLI 按照以下流程核实配置特征。

ASA 设备的 CLI 核查方式

执行以下命令检查是否全局或接口级启用了 SSL VPN（WebVPN），以及是否存在二次认证配置：

show running-config webvpn
show running-config tunnel-group

在配置输出中，重点检索是否存在类似以下片段：

! 确认已在外部接口启用 SSL VPN
webvpn
 enable outside

! 确认隧道组类型为远程访问（remote-access）
tunnel-group RemoteAccessGroup type remote-access
tunnel-group RemoteAccessGroup general-attributes
 ! 存在主认证服务器组
 authentication-server-group AAA-Primary
 ! 存在二次身份验证配置（触发漏洞的必要条件）
 secondary-authentication-server-group AAA-Secondary

如果某个处于启用状态的 remote-access 隧道组中包含 secondary-authentication-server-group 指令，且关联的 SSL VPN 接口暴露在公网，则判定该设备处于高危受攻击面中。

FTD 设备的 FMC/FDM 核验要点

对于通过 Firepower Management Center (FMC) 或 Firepower Device Manager (FDM) 集中管理的 FTD：

1. 访问 Devices > VPN > Remote Access。
2. 检查现存的 Connection Profile (Tunnel Group)。
3. 查看 AAA Setup 页面下的认证机制：是否在 Primary Authentication 之外，额外勾选并配置了 Secondary Authentication。如果启用了二级认证且接入协议包含 SSL，则该 FTD 实例完全符合受影响条件。

---

官方修复方案与版本依赖

根据思科官方安全公告（cisco-sa-asaftd-tunnel-dos-s6mgkb75），本漏洞无 CLI 过滤或临时规避参数，修复此漏洞的唯一途径是升级至官方发布的修复构建（Fixed Release）。针对不同维护轨道，需对照相应基线升级：

注：升级前务必登录思科软件中心（Software Central）核对对应硬件型号在目标版本的兼容矩阵，特别是 ROMMON 版本要求以及 FTD 与 FMC 控制管理端的版本配对关系（FMC 版本通常需大于或等于托管 FTD 版本）。

---

应急处置：升级窗口规划与回滚预案

由于该漏洞遭到在野利用且没有配置缓解措施，如果暂时无法立刻升级，唯一的物理阻断手段只有停用二次认证或临时下线外部 SSL VPN 接入，但这往往会直接阻断远程办公业务。因此，合理规划升级与容灾切换至关重要。

1. 升级窗口与双机高可用（HA）无缝切换

对于生产部署中配置了 Active/Standby 状态化故障转移（Failover）的双机集群，可以采用零停机滚动升级策略：

1. 核验当前集群健康状态：

   show failover
   show failover state

确保对端处于正常的 Standby Ready 状态，复制链路无通信中断。

1. 升级备节点（Standby Unit）：将目标镜像上传至备机并修改其 boot system 启动项配置，执行 reload 重启备机。
2. 完成版本初验与主备切换：待备机以新版本完全启动并同步配置后，在主机执行强制切换：

   failover active

此时原备机成为 Active 节点接管全量 SSL VPN 流量。

1. 升级原主节点并还原拓扑：对原主机执行相同的升级与重启操作，待其重新恢复为 Standby 后，视运维规范决定是否切回。

对于单机部署环境，需提前发出服务中断通告，预留至少 30-45 分钟的停机维护窗口。

2. 回滚预案（Rollback Plan）

在实施固件刷写前，必须建立完整的回滚基准线：

• 备份当前配置与密钥：
• ASA：导出 show running-config 全量文本，使用 copy disk0: flash_backup 备份现有系统镜像及 AnyConnect/Secure Client 软件包。
• FTD：在 FMC 界面触发完整的系统级灾备备份任务（System > Tools > Backup/Restore）。
• 保留前一稳定版固件：禁止在升级过程中删除磁盘（disk0:）内现有的旧版引导镜像。若升级后出现硬件模块不识别、接口协议震荡或关键策略丢失，直接通过控制台（Console）介入：

  no boot system
  boot system disk0:/<old-image-name>.bin
  write memory
  reload

---

升级后验证清单与设备稳定性监控

固件升级并重启完成后，团队应通过多维度指标核验漏洞修复效果与设备基础稳定性，完成事件闭环。

1. 软件版本与运行环境确认

登录终端核实运行镜像：

show version

核对输出中的系统版本号、运行时长（Uptime）、内存占用及已加载的硬件加速卡驱动。

2. 核心功能及隧道组二次认证测试

• 使用测试账号发起实际的远程接入测试，走完“主账号密码 + 二次验证码（Token/Push）”完整流程，确保二次认证逻辑在新系统下恢复正常且不崩溃。
• 执行以下指令观察并发连接与会话状态：

  show vpn-sessiondb remote
  show vpn-sessiondb summary

3. 设备稳定性与崩溃日志巡检

• 检查设备是否仍存在异常 Reload 历史：

  show crashinfo
  dir crashinfo:

确认自升级上线起未生成新的内核转储文件（Crashinfo）。

• 持续观察系统性能指标：连续监控 CPU 使用率（show cpu usage）与内存占用率（show memory），确保没有因配置重新加载导致进程死锁或内存泄漏。
• 日志关联分析：在 Syslog 接收端针对设备 IP 过滤包含系统重置、进程挂起相关的特征日志，确保设备持续平稳运行。