Une faille critique exploitable sans authentification

Cisco a annoncé le 29 octobre 2026 avoir corrigé une faille critique (CVE-2026-76418) dans ses logiciels Cisco Secure Firewall Adaptive Security Appliance (ASA) Software et Cisco Secure Firewall Threat Defense (FTD) Software, affectant spécifiquement le service Remote Access SSL VPN. Selon Cisco, cette vulnérabilité permet à un attaquant non authentifié d’envoyer des requêtes VPN malveillantes et de provoquer un redémarrage involontaire des appareils, entraînant une déni de service (DoS).

La faille résulte d’erreurs logiques dans la configuration de l’authentification secondaire pour les groupes de tunnels VPN, comme l’explique Cisco : « Une attaque réussie ne nécessite même pas une connexion VPN valide pour atteindre la voie de traitement vulnérable ». Le CERT-FR classe cette vulnérabilité comme associée à la catégorie CWE-690 (déréférencement de pointeur NULL non vérifié), confirmant son potentiel destructeur.

Une attaque réussie ne nécessite même pas une connexion VPN valide pour atteindre la voie de traitement vulnérable

Exploitation active confirmée et groupes ciblés

Cisco a confirmé que cette faille était activement exploitée en octobre 2026, bien que l’entreprise n’ait pas divulgué l’identité des attaquants ni l’ampleur des cibles. Le groupe UAT-11473 a également été associé à cette campagne, exploitant une autre faille (CVE-2026-20127) pour contourner l’authentification sur des systèmes Cisco SD-WAN Catalyst Controller, selon The Hacker News. Ce groupe a ciblé des secteurs comme l’espace, la défense et les politiques publiques, avec des recoupements avec les activités du groupe Volt Typhoon.

Les attaques impliquent l’utilisation du framework KeyDrift, qui collecte des matériaux de chiffrement et agit comme une porte dérobée dans les processus SD-WAN, permettant un accès persistant aux infrastructures.

Correctifs et mitigations temporaires

Cisco a publié des correctifs pour différentes versions de ses logiciels ASA/FTD, comme la version 9.16.4.104 pour ASA 9.16. Les versions affectées incluent tous les appareils disposant d’un SSL VPN accessible et d’une authentification secondaire configurée. En attendant les mises à jour, Cisco recommande des mesures temporaires :

• désactiver la liste des groupes de tunnels (tunnel-group-list enable)
• ou désactiver l’authentification secondaire pour tous les groupes de tunnels, y compris le groupe par défaut (DefaultWEBVPNGroup)

Le CISA (Cybersecurity and Infrastructure Security Agency) a enregistré la faille avec un statut d’exploitation marqué comme « none », mais avec un impact technique qualifié de « partial », soulignant son potentiel de perturbation.

Ce que cela change ici

Pour les entreprises et administrations d’Afrique de l’Ouest, notamment au Bénin, où les solutions Cisco ASA/FTD sont couramment déployées pour sécuriser les accès distants et les infrastructures critiques, cette faille représente un risque majeur. Si des pare-feu exposés à des attaques VPN malveillantes subissaient un redémarrage forcé, cela pourrait paralyser des services essentiels, comme les plateformes gouvernementales, les réseaux bancaires ou les systèmes de santé connectés.

Les organisations utilisant des configurations avec authentification secondaire sur des groupes de tunnels VPN devraient prioriser l’application des correctifs Cisco ou appliquer les mitigations temporaires pour éviter des interruptions. Par ailleurs, la présence de groupes comme UAT-11473 ciblant des secteurs stratégiques rappelle la nécessité de surveiller les activités suspectes sur les systèmes SD-WAN, souvent utilisés pour interconnecter les sites distants.

Enfin, cette faille souligne l’importance de mettre à jour régulièrement les firmware et logiciels de sécurité, une pratique encore sous-estimée dans certaines administrations africaines où les ressources dédiées à la cybersécurité restent limitées.