Falha explorada ativamente na VPN do Cisco ASA e FTD pode deitar abaixo as firewalls

A Cisco lançou correções para uma vulnerabilidade de severidade elevada no software Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD) e confirma que a falha já está a ser explorada. Identificada como CVE-2026-76418 e pontuada com 8,6 na escala CVSS, permite a um atacante remoto não autenticado enviar um pedido manipulado à VPN SSL de acesso remoto e forçar o reinício da firewall. Não são necessárias credenciais de VPN.

O que aconteceu

A fragilidade está no serviço Remote Access SSL VPN e resulta de erros de lógica que surgem quando a autenticação secundária está configurada num tunnel group. Um atacante que consiga chegar ao portal de autenticação da VPN pode acionar o caminho de código defeituoso durante a tentativa de ligação e derrubar o equipamento, provocando uma negação de serviço. Como o dispositivo reinicia por completo, caem com ele todas as sessões VPN e todo o tráfego que atravessa a firewall.

A Cisco afirma ter tomado conhecimento da exploração ativa em outubro de 2026 e publicou o aviso a 28 de outubro. Não indicou quando começaram os ataques, quem está por detrás deles nem quantas organizações foram afetadas. Não existem soluções de contorno; atualizar é a única correção permanente.

Um equipamento está exposto quando se verificam as três condições seguintes:

• executa uma versão vulnerável de ASA ou FTD;
• o serviço de autenticação da VPN SSL de acesso remoto está acessível ao atacante;
• a autenticação secundária está configurada ao nível do tunnel group.

Versões ASA corrigidas

• 9.16 e anteriores: 9.16.4.104
• 9.18: 9.18.4.96
• 9.20: 9.20.4.50
• 9.22: 9.22.3.200
• 9.23: 9.23.1.48
• 9.24: 9.24.1.27 e 9.24.10.1

Versões FTD corrigidas

• 7.0 e anteriores: 7.0.11
• 7.2: 7.2.13
• 7.4: 7.4.9
• 7.6: 7.6.7
• 7.7: 7.7.14
• 10.0: 10.0.3
• 10.1: 10.1.1

Porque é que importa

As firewalls de perímetro e os concentradores VPN estão entre os alvos mais apetecíveis da internet neste momento. Estão expostos por natureza, não podem correr agentes de endpoint e ficam à frente de tudo o resto. Uma queda fiável e sem autenticação tem valor para um atacante por si só: corta o acesso aos colaboradores remotos, quebra as ligações entre sedes e pode ser sincronizada para encobrir outra atividade. Mostra ainda que alguém estudou de muito perto este caminho de código da VPN.

A altura é incómoda para os clientes da Cisco. Na mesma semana, o fabricante revelou que um grupo de ameaças sofisticado, que acompanha sob o nome UAT-11473, tinha transformado em arma a CVE-2026-20127, uma evasão de autenticação no Catalyst SD-WAN Controller, contra organizações dos setores espacial e de satélites, defesa e aeroespacial, e investigação de políticas públicas. Essa campanha instalou uma framework de malware à medida chamada KeyDrift, concebida para correr dentro dos processos do plano de controlo SD-WAN e recolher discretamente material de chaves criptográficas. A Cisco avalia que a infraestrutura se sobrepõe à rede Silent Train do Volt Typhoon, mas isso continua a ser uma avaliação e não uma atribuição confirmada. As duas falhas não têm relação técnica, mas em conjunto mostram a pressão a que o perímetro de rede da Cisco está sujeito neste momento.

O que fazer

1. Atualize primeiro. Passe para a versão corrigida do seu ramo, usando as listas acima. Não há nenhuma alteração de configuração que feche completamente a falha.
2. Verifique se está exposto. No ASA, se a lista de tunnel groups estiver ativa, inspecione cada tunnel group, incluindo o DefaultWEBVPNGroup, à procura de um grupo de servidores de autenticação secundária. Se a lista estiver desativada, inspecione na mesma o DefaultWEBVPNGroup: desligar a lista não elimina a exposição quando o grupo predefinido usa autenticação secundária. No FTD, reveja a política de VPN de acesso remoto implementada e a configuração resultante no FMC ou FDM.
3. Mitigue se não conseguir atualizar hoje. Desative a lista de tunnel groups quando o DefaultWEBVPNGroup não usar autenticação secundária, ou desative a autenticação secundária nos tunnel groups afetados e no grupo predefinido. Pondere a perda temporária do fator adicional face ao risco de uma interrupção e não deixe as coisas assim por muito tempo.
4. Procure reinícios inexplicados. Recolha a informação de falhas e o histórico de reinícios de toda a frota ASA e FTD e cruze-a com tentativas de ligação VPN a partir de origens invulgares. Qualquer reinício sem explicação desde o início de outubro merece uma análise mais atenta.
5. Reduza a exposição. Sempre que o negócio o permitir, restrinja o portal da VPN SSL a gamas de endereços conhecidas ou coloque-o atrás de uma filtragem por IP ou geográfica. O que o atacante não consegue alcançar, não consegue derrubar.

Portais VPN, interfaces de gestão e equipamentos de perímetro esquecidos são exatamente os ativos que saem do radar entre auditorias. O serviço de Attack Surface Management da 4tify mapeia continuamente aquilo que a sua organização expõe de facto à internet e assinala versões de firmware vulneráveis assim que surgem avisos como este, para que uma falha como a CVE-2026-76418 chegue à sua equipa no próprio dia em que é publicada.