思科 ASA／FTD 防火牆 VPN 漏洞已遭利用：不必登入就能讓設備重開機，公司遠端連線可能中斷，CVSS 8.6，10 月 28 日公告，原廠說沒有根治的替代做法、強烈建議升級

趨勢新聞2026 年 10 月 29 日

很多公司讓員工在家或出差時用 VPN（虛擬私人網路，一條從外面加密通進公司內網的連線）連回公司，入口常是一台防火牆。思科（Cisco）10 月 28 日公告（格林威治時間 19:15，台灣時間 29 日凌晨 3:15），旗下 Secure Firewall ASA 與 Secure Firewall Threat Defense（FTD）兩套防火牆軟體的 SSL VPN 功能有漏洞，編號 CVE-2026-76418。攻擊者不必有帳號密碼，對 VPN 登入服務送出特製的請求，就能讓設備意外重開機，造成服務中斷。思科說，10 月已發現有人實際拿來攻擊。本站的讀法：員工如果正透過被打的那台設備連回公司，設備重開時 VPN 連線可能中斷，實際影響要看有沒有備援與怎麼部署；而且只有開了 SSL VPN、又在特定連線設定檔設了「次要驗證」的設備才在範圍內，請 IT 或維護廠商對照下方版本表排升級。

我的公司會不會受影響？

思科列了三個條件，要同時成立：

• 軟體版本還沒修補：跑的是有漏洞的 ASA 或 FTD 版本（版本表見下節）。
• SSL VPN 登入服務連得到：設定裡有 webvpn，而且至少一個網路介面啟用了 SSL VPN。原文用的字是 reachable（連得到），不限於從網際網路連。
• 連線設定檔設了次要驗證：VPN 的連線設定檔，思科稱 tunnel group，設了 secondary-authentication-server-group，也就是登入時除了第一組驗證伺服器，還要再過第二組。

第三項要看哪些設定檔，取決於登入頁的設定檔清單有沒有開。有開（tunnel-group-list enable）的，所有設定檔都要查，包含預設的 DefaultWEBVPNGroup，登入頁清單沒顯示的也算。沒開或已經關掉的，查預設的 DefaultWEBVPNGroup；原文寫，關掉清單並不會消除預設設定檔帶來的風險。原文另寫「A successful VPN login is not required to reach the affected processing path」，本站譯為「要觸及受影響的處理流程，不必成功登入 VPN」，所以攻擊者不必先偷到任何人的密碼。

思科確認不受影響的有雲端版防火牆（Cloud-delivered Firewall）、雲端管理中心 cdFMC、Secure Access，以及 Secure FMC 管理軟體本身。一般員工不必自己動手，這是 IT 那一端的事。

幾個名詞：ASA 是思科行之有年的防火牆軟體，FTD 是較新的一套，通常透過管理軟體 FMC 或 FDM 設定。CVE 是漏洞的國際統一編號。CVSS 是 0 到 10 的嚴重度分數，這次 8.6 分，思科列為「高」級。思科這次的評分把機密性與完整性的影響列為「無」、可用性列為「高」，公告描述的直接後果是設備重開機、服務中斷。成因是連線設定檔設了次要驗證時的「邏輯錯誤」，更細的機制思科沒有公開。

怎麼修：對照版本表

思科在公告裡三次寫到「strongly recommends」（強烈建議，本站譯）客戶升級到修補版。下表左邊是目前用的版本系列，右邊是該系列第一個修好的版本；9.16、7.0 及更早的舊版，思科列的目標是右邊那一版。實際要升到哪一版，請依設備型號與相容性對照思科的升級指南決定：

• ASA 軟體：9.16 及更早 → 9.16.4.104；9.18 → 9.18.4.96；9.20 → 9.20.4.50；9.22 → 9.22.3.200；9.23 → 9.23.1.48；9.24 → 9.24.1.27 或 9.24.10.1。
• FTD 軟體：7.0 及更早 → 7.0.11；7.2 → 7.2.13；7.4 → 7.4.9；7.6 → 7.6.7；7.7 → 7.7.14；10.0 → 10.0.3；10.1 → 10.1.1。

思科另提供線上工具 Cisco Software Checker，輸入目前的版本號，會列出這個版本受哪些公告影響、要升到哪一版才能一次修完。FTD 設備的升級要依 FMC 的升級指南操作。

沒有根治的替代做法，那暫時能做什麼？

原文寫「There are no workarounds that address this vulnerability」，本站譯為「沒有能處理這個漏洞的替代做法」。但它緊接著列了一項緩解措施（mitigation），依預設設定檔 DefaultWEBVPNGroup 有沒有用次要驗證分兩種情況。沒有用的，可以關掉登入頁的設定檔清單（no tunnel-group-list enable），代價是員工登入時不能從清單選設定檔，要自己知道該用哪一個。有用的，要用 no secondary-authentication-server-group 把次要驗證拿掉，原文寫「the security posture is lowered for remote access VPN」，本站譯為「遠端存取 VPN 的安全性會降低」。

思科說這個做法在測試環境驗證有效，但客戶要先評估它在自己環境的適用性、有效性，以及對功能、效能與安全性的影響，並把一切緩解措施當成升級前的過渡。本站的讀法：第二種情況等於為了不被打到重開機，拆掉登入時多加的那一道關卡，這個取捨要由公司自己決定；能排進維護時段升級的，升級比較單純。

已知、推論與還不知道的

已知：思科產品資安事件應變小組（PSIRT）2026 年 10 月得知這個漏洞遭到利用。原文寫，漏洞是 Eric Fernald 在處理一件思科技術支援（TAC）案件的過程中發現的。公告為 1.0 版，標示「Final」。

推論（本站的讀法）：防火牆如果同時是辦公室上網的出口，重開機的這段時間，辦公室上網也可能一起停；有兩台互為備援、而且能正常切換的架構，影響可能較小。設備重開後如果仍符合受影響條件，攻擊者可能再次觸發，造成反覆中斷；公告沒有交代連續觸發的測試結果。

還不知道：誰在攻擊、打了多少台、有沒有台灣的設備被打，這份公告都沒有交代。美國網路安全暨基礎設施安全局（CISA）的「已遭利用漏洞目錄」（KEV），本站在台灣時間 10 月 29 日 04:15 讀到的版本是 2026.10.28（10 月 28 日 19:00 UTC 發布，比思科公告早 15 分鐘），其中沒有這筆；這不影響思科自己確認已遭利用，之後會不會列入要再看。