Cisco выпустила обновления безопасности для CVE-2026-76418 — уязвимости высокой степени серьёзности (CVSS 8.6) в программном обеспечении Secure Firewall ASA и FTD, которая, по данным компании, уже эксплуатируется злоумышленниками. Уязвимость позволяет неаутентифицированному удалённому атакующему вызвать перезагрузку межсетевого экрана через специально сформированный запрос к службе SSL VPN удалённого доступа, что приводит к отказу в обслуживании. Одновременно Cisco Talos раскрыла деятельность APT-группировки UAT-11473, эксплуатирующей критическую уязвимость CVE-2026-20127 (CVSS 10.0) в Cisco SD-WAN для установки специализированного вредоносного фреймворка KeyDrift. Администраторам Cisco ASA/FTD с включённым SSL VPN и настроенной вторичной аутентификацией необходимо немедленно установить обновления или применить временные меры митигации.
CVE-2026-76418: техническая суть и условия эксплуатации
Согласно бюллетеню безопасности Cisco, опубликованному 28 октября 2026 года, уязвимость вызвана логическими ошибками в обработке запросов при настроенной вторичной аутентификации (secondary authentication) в конфигурации туннельной группы. Атакующий отправляет специально сформированный запрос при подключении к SSL VPN удалённого доступа, что вызывает непредвиденную перезагрузку устройства. Критически важно: успешная VPN-аутентификация для эксплуатации не требуется — достаточно доступности службы SSL VPN извне.
Устройство уязвимо при одновременном выполнении трёх условий:
- Установлена уязвимая версия Cisco Secure Firewall ASA или FTD
- Служба SSL VPN удалённого доступа доступна из сети
- Вторичная аутентификация настроена в области действия туннельной группы
Cisco особо подчёркивает неочевидный нюанс: даже если параметр tunnel-group-list enable отключён командой no tunnel-group-list enable, устройство остаётся уязвимым, если группа по умолчанию DefaultWEBVPNGroup использует вторичную аутентификацию. Администраторам следует проверить параметр secondary-authentication-server-group во всех туннельных группах, включая DefaultWEBVPNGroup.
Cisco сообщает, что PSIRT узнала об активной эксплуатации CVE-2026-76418 в октябре 2026 года, однако подробности об атакующих, масштабе кампании и конкретных жертвах не раскрыты. Независимого подтверждения эксплуатации на момент публикации не обнаружено.
Исправленные версии и временные меры
Обновления доступны для следующих веток:
Cisco Secure Firewall ASA:
- 9.16 и ранее — исправлено в 9.16.4.104
- 9.18 — исправлено в 9.18.4.96
- 9.20 — исправлено в 9.20.4.50
- 9.22 — исправлено в 9.22.3.200
- 9.23 — исправлено в 9.23.1.48
- 9.24 — исправлено в 9.24.1.27 и 9.24.10.1
Cisco Secure FTD:
- 7.0 и ранее — исправлено в 7.0.11
- 7.2 — исправлено в 7.2.13
- 7.4 — исправлено в 7.4.9
- 7.6 — исправлено в 7.6.7
- 7.7 — исправлено в 7.7.14
- 10.0 — исправлено в 10.0.3
- 10.1 — исправлено в 10.1.1
Cisco указывает, что полноценного обходного решения (workaround) для CVE-2026-76418 не существует. В качестве временной меры до обновления рекомендуется: отключить список туннельных групп, если DefaultWEBVPNGroup не использует вторичную аутентификацию, либо отключить вторичную аутентификацию на затронутых туннельных группах. Компания предупреждает, что эти меры снижают уровень безопасности VPN удалённого доступа и должны рассматриваться как временные.
UAT-11473 и фреймворк KeyDrift: APT-кампания против SD-WAN
Параллельно с выпуском патча для CVE-2026-76418 Cisco раскрыла информацию о деятельности APT-группировки, отслеживаемой как UAT-11473. По данным исследования Cisco Talos, группировка эксплуатировала CVE-2026-20127 — критическую уязвимость обхода аутентификации (CVSS 10.0, CWE-287) в Cisco Catalyst SD-WAN Controller, Manager и Validator. Эта уязвимость, зарегистрированная в NVD и внесённая в каталог CISA KEV ещё 25 февраля 2026 года, затрагивает все типы развёртывания — как локальные, так и облачные, размещённые Cisco, — независимо от конфигурации устройства. Мы уже писали об уязвимостях в Cisco SD-WAN, и нынешнее раскрытие подтверждает устойчивый интерес продвинутых группировок к этой инфраструктуре.
После успешной эксплуатации CVE-2026-20127 злоумышленники устанавливали специализированный вредоносный фреймворк KeyDrift, состоящий из нескольких компонентов, включая PolyFlame и LittleFilch. По данным Talos, фреймворк работает непосредственно внутри процессов плоскости управления SD-WAN и способен:
- Перехватывать расшифрованный управляющий трафик
- Извлекать метаданные управляющих сессий и ключевой материал плоскости данных
- Подготавливать и передавать собранные данные с использованием зашифрованных записей
Talos отмечает, что в проанализированных образцах PolyFlame не обнаружено жёстко закодированных IP-адресов, доменов обратного вызова, URL или портов привязки. Это существенно затрудняет обнаружение на основе сетевых индикаторов компрометации и делает телеметрию процессов и плоскости управления ключевой поверхностью для детектирования.
Talos сопоставил деятельность KeyDrift с техниками MITRE ATT&CK: T1055.008 (внедрение в процессы), T1574.006 (перехват порядка загрузки), T1040 (перехват сетевого трафика), T1573.001 (шифрованный канал), T1027.002 (обфускация), T1497.001 (обнаружение песочницы) и другие.
Атрибуция и целевые секторы
По данным Talos, UAT-11473 нацелена на организации в секторах космических и спутниковых услуг, оборонных и аэрокосмических технологий, а также исследований в области политики. Talos оценивает с высокой уверенностью, что инфраструктура UAT-11473 значительно пересекается с сетью скрытого доступа Silent Train, связываемой с группировкой Volt Typhoon. Следует подчеркнуть: это оценка пересечения инфраструктуры, а не доказательство тождественности двух группировок. Независимого подтверждения этой атрибуции в доступных материалах не обнаружено.
Оценка воздействия
Сочетание двух раскрытых проблем создаёт серьёзную картину угроз для организаций, использующих сетевую инфраструктуру Cisco. CVE-2026-76418 представляет непосредственную угрозу доступности для любой организации с SSL VPN на базе ASA/FTD и вторичной аутентификацией — типичная конфигурация для предприятий с повышенными требованиями к безопасности удалённого доступа. Отсутствие необходимости аутентификации для эксплуатации делает атаку тривиально доступной.
CVE-2026-20127 несёт стратегическую угрозу: полный обход аутентификации в контроллерах SD-WAN открывает путь к компрометации всей программно-определяемой сети, а фреймворк KeyDrift обеспечивает долгосрочное скрытое присутствие с автоматизированной эксфильтрацией криптографического материала.
Рекомендации
Для CVE-2026-76418: немедленно обновите ASA и FTD до исправленных версий. Если обновление невозможно в ближайшие часы — отключите вторичную аутентификацию на затронутых туннельных группах как временную меру, осознавая снижение уровня безопасности VPN. Проверьте конфигурацию DefaultWEBVPNGroup на наличие параметра secondary-authentication-server-group.
Для CVE-2026-20127: обновите Cisco Catalyst SD-WAN до исправленных версий (20.9.8.2, 20.12.5.3/20.12.6.1, 20.15.4.2 или 20.18.2.1 в зависимости от ветки). Учитывая характер KeyDrift — работу внутри процессов плоскости управления без сетевых индикаторов — приоритизируйте мониторинг аномалий в процессах SD-WAN и контрольной плоскости. Организациям в целевых секторах (космос, оборона, аэрокосмические технологии) следует провести ретроспективный анализ активности на контроллерах SD-WAN.
Обе уязвимости активно эксплуатируются, и обновление не терпит отлагательств. Для CVE-2026-76418 приоритет — защита доступности VPN-инфраструктуры в ближайшие часы; для CVE-2026-20127 — проверка целостности контроллеров SD-WAN и поиск следов KeyDrift, особенно если обновление было отложено с момента первоначального раскрытия в феврале 2026 года.
