Vulnerabilitate exploatată activ în VPN-ul Cisco ASA și FTD poate scoate firewall-urile din funcțiune

Cisco a publicat remedieri pentru o vulnerabilitate de severitate ridicată din software-ul Secure Firewall Adaptive Security Appliance (ASA) și Secure Firewall Threat Defense (FTD) și confirmă că problema este deja exploatată. Identificată drept CVE-2026-76418 și evaluată cu 8,6 pe scala CVSS, vulnerabilitatea permite unui atacator neautentificat, aflat la distanță, să trimită o cerere special construită către serviciul SSL VPN de acces la distanță și să forțeze repornirea firewall-ului. Nu sunt necesare credențiale VPN.

Ce s-a întâmplat

Slăbiciunea se află în serviciul Remote Access SSL VPN și provine din erori de logică ce apar atunci când autentificarea secundară este configurată pe un tunnel group. Un atacator care poate ajunge la portalul de autentificare VPN poate declanșa calea de cod defectă în timpul încercării de conectare și poate bloca echipamentul, provocând o stare de refuz al serviciului. Deoarece întregul dispozitiv repornește, cad odată cu el toate sesiunile VPN și tot traficul care trece prin firewall.

Cisco afirmă că a aflat de exploatarea activă în octombrie 2026 și a publicat avizul de securitate pe 28 octombrie. Compania nu a precizat când au început atacurile, cine se află în spatele lor și câte organizații au fost afectate. Nu există soluții de ocolire; actualizarea este singura remediere permanentă.

Un dispozitiv este expus atunci când sunt îndeplinite toate cele trei condiții de mai jos:

• rulează o versiune vulnerabilă de ASA sau FTD;
• serviciul de autentificare SSL VPN de acces la distanță este accesibil atacatorului;
• autentificarea secundară este configurată la nivel de tunnel group.

Versiuni ASA remediate

• 9.16 și anterioare: 9.16.4.104
• 9.18: 9.18.4.96
• 9.20: 9.20.4.50
• 9.22: 9.22.3.200
• 9.23: 9.23.1.48
• 9.24: 9.24.1.27 și 9.24.10.1

Versiuni FTD remediate

• 7.0 și anterioare: 7.0.11
• 7.2: 7.2.13
• 7.4: 7.4.9
• 7.6: 7.6.7
• 7.7: 7.7.14
• 10.0: 10.0.3
• 10.1: 10.1.1

De ce contează

Firewall-urile de perimetru și concentratoarele VPN sunt printre cele mai atractive ținte de pe internet în acest moment. Sunt expuse prin natura lor, nu pot rula agenți de securitate și stau în fața tuturor celorlalte sisteme. O blocare fiabilă, fără autentificare, are valoare pentru un atacator și de una singură: întrerupe accesul angajaților la distanță, rupe legăturile între sedii și poate fi sincronizată pentru a acoperi alte activități. În plus, arată că cineva a studiat foarte atent această cale de cod din VPN.

Momentul este unul incomod pentru clienții Cisco. În aceeași săptămână, producătorul a dezvăluit că un grup de atacatori sofisticat, urmărit sub numele UAT-11473, a transformat în armă CVE-2026-20127, o ocolire a autentificării în Catalyst SD-WAN Controller, împotriva unor organizații din domeniile spațial și satelitar, apărare și aerospațial, precum și cercetare de politici publice. Campania a instalat un cadru de malware personalizat numit KeyDrift, conceput să ruleze în procesele planului de control SD-WAN și să colecteze discret material criptografic de chei. Cisco apreciază că infrastructura se suprapune cu rețeaua Silent Train a grupării Volt Typhoon, însă aceasta rămâne o evaluare, nu o atribuire confirmată. Cele două vulnerabilități nu au legătură tehnică, dar împreună arată cât de mare este presiunea asupra perimetrului de rețea Cisco în acest moment.

Ce este de făcut

1. Actualizați mai întâi. Treceți la versiunea remediată pentru ramura dumneavoastră, folosind listele de mai sus. Nu există nicio modificare de configurație care să închidă complet breșa.
2. Verificați dacă sunteți expuși. Pe ASA, dacă lista de tunnel group-uri este activată, inspectați fiecare tunnel group, inclusiv DefaultWEBVPNGroup, pentru un grup de servere de autentificare secundară. Dacă lista este dezactivată, inspectați totuși DefaultWEBVPNGroup: dezactivarea listei nu elimină expunerea atunci când grupul implicit folosește autentificare secundară. Pe FTD, revizuiți politica de VPN de acces la distanță implementată și configurația rezultată în FMC sau FDM.
3. Aplicați o măsură temporară dacă nu puteți actualiza astăzi. Dezactivați lista de tunnel group-uri dacă DefaultWEBVPNGroup nu folosește autentificare secundară sau dezactivați autentificarea secundară pe tunnel group-urile afectate și pe grupul implicit. Cântăriți pierderea temporară a celui de-al doilea factor față de riscul unei întreruperi și nu lăsați lucrurile așa prea mult timp.
4. Căutați reporniri neexplicate. Extrageți informațiile despre blocări și istoricul repornirilor din toată flota ASA și FTD și corelați-le cu încercările de conectare VPN din surse neobișnuite. Orice repornire neexplicată de la începutul lui octombrie merită o analiză mai atentă.
5. Reduceți accesibilitatea. Acolo unde activitatea permite, restricționați portalul SSL VPN la intervale de adrese cunoscute sau puneți-l în spatele unei filtrări pe IP sau geografice. Ce nu poate fi atins de atacator nu poate fi nici blocat.

Portalurile VPN, interfețele de administrare și echipamentele de perimetru uitate sunt exact activele care ies din raza vizuală între două audituri. Serviciul de Attack Surface Management al 4tify cartografiază continuu ceea ce organizația dumneavoastră expune cu adevărat pe internet și semnalează versiunile de firmware vulnerabile imediat ce apar avize precum acesta, astfel încât o vulnerabilitate ca CVE-2026-76418 ajunge pe radarul echipei chiar în ziua publicării.