Cisco ASA și FTD CVE-2026-76418: DoS exploatat pe VPN SSL
Pe 28 octombrie 2026, Cisco a publicat avizul cisco-sa-asaftd-tunnel-dos-s6mgkb75 pentru CVE-2026-76418, o vulnerabilitate din serviciul Remote Access SSL VPN al Cisco ASA și Secure Firewall Threat Defense (FTD). Un atacator neautentificat, de la distanță, poate reporni dispozitivul cu o cerere construită, deci poate întrerupe accesul VPN. Cisco spune că PSIRT a aflat în octombrie de exploatare activă, iar CISA a adăugat defectul în KEV pe 29 octombrie, cu termen federal 1 noiembrie, deja trecut.
Scorul este CVSS 8,6, nu 10, și efectul este o indisponibilitate, nu execuție de cod. Totuși, un gateway VPN care se repornește la comandă este o problemă operațională pentru orice organizație cu acces la distanță, iar condiția de expunere este o opțiune de configurare pe care o poți verifica în câteva minute. Mai jos: cine este afectat, ce versiuni rezolvă defectul, ce nu se știe și ce faci.
Ce este confirmat
Avizul Cisco, citit direct, descrie CVE-2026-76418 (CWE-690, bug CSCwx26625) cu CVSS 3.1 de 8,6 (AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H). Cauza este o eroare de logică atunci când autentificarea secundară este configurată pe un tunnel group; atacatorul trimite o cerere construită în timpul conectării la VPN-ul SSL, iar dispozitivul se repornește. Avizul spune că nu este necesară o autentificare reușită și că nicio soluție de ocolire nu rezolvă defectul. Cisco a primit informația despre defect printr-un caz TAC, prin Eric Fernald.
Cisco spune că în octombrie 2026 PSIRT a aflat de exploatare activă a vulnerabilității și recomandă puternic actualizarea la o versiune corectată. CISA a adăugat CVE-2026-76418 în KEV pe 29 octombrie, cu termen 1 noiembrie, ransomware „necunoscut” și triaj criminalistic „No” (am verificat direct în feed-ul KEV). BleepingComputer și The Hacker News confirmă independent exploatarea și faptul că Cisco nu a spus când au început atacurile, cine le face sau cât de răspândite sunt.
Cine este afectat
Un dispozitiv este expus dacă rulează o versiune vulnerabilă, configurația include webvpn cu SSL VPN activat pe cel puțin o interfață și un tunnel group are secondary-authentication-server-group. Dacă tunnel-group-list enable este setat, verifică toate grupurile, inclusiv DefaultWEBVPNGroup; dacă lista lipsește sau a fost scoasă, verifică DefaultWEBVPNGroup, pentru că dezactivarea listei nu elimină expunerea. Pe FTD, verifică politica de acces VPN în FMC (Devices > VPN > Remote Access) sau în FDM. Cisco listează ca neafectate cdFMC, Secure Access și Secure FMC Software.
Ce versiuni rezolvă defectul
Potrivit avizului Cisco, primele versiuni corectate sunt următoarele:
- ▸ASA 9.16 și mai vechi: 9.16.4.104; 9.18: 9.18.4.96; 9.20: 9.20.4.50; 9.22: 9.22.3.200; 9.23: 9.23.1.48; 9.24: 9.24.1.27 și 9.24.10.1.
- ▸FTD 7.0 și mai vechi: 7.0.11; 7.2: 7.2.13; 7.4: 7.4.9; 7.6: 7.6.7; 7.7: 7.7.14; 10.0: 10.0.3; 10.1: 10.1.1.
Ce nu se știe
Cisco nu a publicat indicatori de compromitere, nu a spus cine exploatează defectul, când au început atacurile și câte organizații sunt vizate; avizul spune doar că detectarea se bazează pe verificările de configurare. Nu am găsit informații despre un exploit public. BleepingComputer nu leagă defectul de campania ArcaneDoor sau de altă campanie. Shadowserver urmărește peste 51.000 de dispozitive Cisco ASA cu SSL VPN expuse, număr din care nu rezultă câte sunt vulnerabile sau deja corectate.
Contextul: în august 2026, Cisco a corectat CVE-2026-20349, un alt zero-day de tip DoS exploatat pe ASA și FTD; l-am analizat separat.
Ce faci
- ▸Inventariază dispozitivele ASA și FTD cu VPN SSL și versiunea lor. Verifică în configurație webvpn, secondary-authentication-server-group și tunnel-group-list enable, inclusiv pentru DefaultWEBVPNGroup.
- ▸Actualizează la prima versiune corectată din linia ta. Cisco recomandă puternic actualizarea, iar termenul KEV de 1 noiembrie a trecut deja.
- ▸Dacă nu poți actualiza imediat, singura atenuare din aviz este dezactivarea autentificării secundare: no tunnel-group-list enable dacă DefaultWEBVPNGroup nu o folosește, altfel no secondary-authentication-server-group pe grupul respectiv. Cisco avertizează că aceasta reduce nivelul de securitate al VPN-ului și cere testare înainte de aplicare; nu este o soluție de ocolire completă.
- ▸Urmărește repornirile neașteptate ale dispozitivelor de la începutul lui octombrie și corelează-le cu cereri către portalul VPN SSL. Cisco nu publică indicatori, deci aceasta este o inferență a noastră: efectul vizibil al defectului este repornirea.
- ▸Pregătește un plan pentru acces la distanță în caz de indisponibilitate a gateway-ului (a doua cale de acces sau procedură de urgență). Este recomandarea noastră, nu a vendorului.
Închide alerta cu dovezi
Pentru fiecare dispozitiv, păstrează versiunea înainte și după, rezultatul verificării de configurare (webvpn, autentificare secundară, grupuri de tunel), data actualizării, atenuarea temporară aplicată dacă a fost cazul și data revenirii, repornirile neașteptate găsite în jurnale și excepțiile rămase, cu motiv și termen.