Cisco ASA/FTD存在可利用DoS漏洞，厂商确认野外已出现实战攻击

思科安全响应团队发布紧急安全通告，CiscoSecureFirewallASA与FTD（FirepowerThreatDefense）防火墙存在高危拒绝服务（）漏洞，且厂商已经确认该漏洞在野外被攻击者实战利用。受影响设备多为企业边界核心防火墙、远程SSLVPN接入网关，一旦被成功利用，会直接造成设备重启、业务断网、远程办公通道瘫痪，对政企、IDC、跨境业务网络构成直接威胁。

一、漏洞原理与攻击触发条件

本次漏洞（CVE-2026-76418）位于SSLVPN远程接入模块，CVSS评分8.6分，属于高危级别，攻击无需账号密码，属于未授权远程触发漏洞。漏洞根源是SSLVPN隧道组开启二次认证时，程序处理特制请求存在逻辑缺陷。攻击者只需要向暴露在公网的SSLVPN服务发送精心构造的请求包，即可触发异常，引发防火墙意外重启，形成拒绝服务。

值得注意的是，攻击不需要完成VPN登录流程，只要目标服务端口对外开放，就能发起攻击。Shadowserver的测绘数据显示，全球互联网上有超过51000台暴露SSLVPN的ASA设备存在潜在风险，国内不少企业、运营商分支、跨境服务商都在使用该系列防火墙，暴露面不容小觑。

二、受影响产品与版本范围

漏洞覆盖CiscoASA全系列硬件、虚拟版ASAv，以及FirepowerFTD、FTDv威胁防御系统。只有同时满足两个条件才会处于高危状态：一是运行在受影响固件版本；二是远程SSLVPN服务对外开放，并且隧道组配置了二次认证。
如果企业没有启用SSLVPN、没有开启二次认证，可降低风险，但仍建议对照官方清单核对版本。该漏洞没有临时通用缓解补丁，不存在可靠的workaround，这也是本次预警风险等级偏高的重要原因。

三、野外攻击现状与危害后果

思科PSIRT明确监测到野外攻击样本与攻击活动，说明漏洞利用代码已经流出，黑产、勒索团伙、威胁组织都可能快速批量扫描公网目标进行打击。

攻击成功后的典型现象：防火墙自动重启，所有穿越防火墙的业务中断，内网服务器、网站、远程VPN全部离线；部分场景下设备反复重启，形成持续性断网。边界防火墙是企业网络的单点核心，一旦瘫痪，企业办公、客户访问、跨境业务都会直接停摆，极易引发业务损失。和普通流量型DDoS不同，该漏洞是协议层面的逻辑攻击，少量数据包即可打垮设备，防护难度更高。

四、应急处置与加固方案

优先处置方案：尽快升级到思科官方发布的修复版本，这是唯一根治手段。
临时应急措施（仅作为补丁上线前过渡）：

1.对公网SSLVPN入口做访问控制，缩小访问源IP范围，仅放行企业办公出口IP；
2.暂时关闭SSLVPN隧道组中的二次认证配置；
3.在前端防护设备上封禁陌生IP对443/SSLVPN端口的高频异常请求；
4.开启防火墙日志审计，监控异常SSL连接请求、设备重启记录，及时发现攻击试探。
同时建议运维团队梳理全网ASA/FTD资产，关闭不必要的公网暴露端口，不要把管理界面、VPN服务直接无限制暴露互联网。

五、行业安全启示

近年来思科ASA、FTD系列漏洞频发，多次出现野外0day被武器化的情况，边界防火墙、VPN网关一直是攻击者重点优先打击目标。很多企业的VPN设备常年不更新固件，只关注连通性，忽略安全补丁迭代，形成长期高危隐患。
对于IDC、域名服务商、跨境企业这类依赖稳定公网出口的主体，除了及时打补丁，还需要建设冗余防火墙集群，避免单台防火墙故障导致全网瘫痪。安全团队应当常态化测绘边界资产，持续跟踪思科、主流网络设备厂商的安全通告，建立快速补丁响应机制，缩短高危漏洞的暴露窗口。