Cisco ASA/FTD CVE-2026-76418: chi è esposto e come mitigare

Il 28 ottobre 2026 Cisco ha pubblicato il bollettino sulla CVE-2026-76418 nei firewall Secure Firewall ASA e Secure Firewall Threat Defense (FTD), già sfruttata come zero-day. Ne abbiamo scritto il 29 ottobre partendo dall’avviso del CERT-FR, che riportava solo il rischio di denial of service e le versioni colpite. Nel frattempo BleepingComputer, SecurityWeek, CSO Online, il Canadian Centre for Cyber Security e INCIBE-CERT hanno aggiunto gli elementi che mancavano: il componente coinvolto, le condizioni di configurazione, una mitigazione temporanea e l’inserimento nel catalogo KEV della CISA.

Il difetto: l’autenticazione secondaria nei tunnel group

Secondo la descrizione di Cisco riportata dalle testate, la vulnerabilità nasce da errori di logica nel servizio Remote Access SSL VPN quando su un tunnel group è configurata l’autenticazione secondaria. Un attaccante remoto e non autenticato invia una richiesta costruita ad arte durante la connessione alla VPN SSL e provoca il riavvio inatteso del dispositivo, cioè un denial of service. SecurityWeek cita una precisazione di Cisco: per raggiungere il codice vulnerabile non serve un login VPN riuscito.

Il punteggio CVSS è 8.6 (alto), secondo SecurityWeek e CSO Online. L’impatto descritto riguarda la disponibilità: nessuna fonte parla di esecuzione di codice o di accesso ai dati. In termini MITRE ATT&CK resta la tecnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation), già indicata nel primo articolo.

Chi è davvero esposto

Le condizioni sono tre e devono essere vere insieme (SecurityWeek, CSO Online, INCIBE-CERT):

• il firewall esegue una versione non corretta di ASA o FTD;
• il servizio di login della VPN SSL è raggiungibile: nella configurazione in esecuzione compare la parola chiave webvpn e la VPN SSL è attiva su almeno un’interfaccia;
• almeno un tunnel group interessato usa l’autenticazione secondaria (secondary-authentication-server-group).

Il bollettino, citato da CSO Online, spiega come controllare i tunnel group. Se è configurato tunnel-group-list enable, vanno verificati tutti, compreso quello predefinito DefaultWEBVPNGroup. Se il comando è assente o è stato tolto con no tunnel-group-list enable, va verificato comunque DefaultWEBVPNGroup: disattivare l’elenco dei gruppi non elimina l’esposizione se il gruppo predefinito usa l’autenticazione secondaria.

Secondo SecurityWeek non sono vulnerabili i firewall e le soluzioni di gestione erogati dal cloud, Secure Access e Secure Firewall Management Center (FMC).

Versioni corrette e un punto da chiarire

Il primo articolo segnalava un valore illeggibile per il ramo 9.24 nell’avviso francese. Il Canadian Centre for Cyber Security e CSO Online lo chiariscono: le correzioni del ramo 9.24 sono 9.24.1.27 e 9.24.10.1. Le release corrette sono:

• ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, ramo 9.23 (vedi di seguito), 9.24.1.27 e 9.24.10.1;
• FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 e 10.1.1.

Sul ramo 9.23 le fonti divergono: il Canadian Centre for Cyber Security indica 9.23.1.4, mentre CSO Online, come prima il CERT-FR, indica 9.23.1.48. Prima di pianificare l’aggiornamento verifica la release esatta nel bollettino di Cisco o con Cisco Software Checker.

Lo stesso avviso canadese (AV26-1102) riguarda anche le vulnerabilità di Node.js in Cisco Smart Software Manager On-Prem, corrette nella versione 10-202610: è un bollettino distinto, da non confondere con questa CVE.

Sfruttamento e contesto

Cisco ha saputo dello sfruttamento in ottobre, ma non ha diffuso indicatori di compromissione né informazioni su attaccanti e bersagli (BleepingComputer, SecurityWeek). Il 29 ottobre la CISA ha inserito la CVE-2026-76418 nel catalogo Known Exploited Vulnerabilities, come riporta il Canadian Centre for Cyber Security. Secondo SecurityWeek il difetto è emerso da una richiesta di assistenza al TAC di Cisco ed è attribuito a Eric Fernald.

È il secondo zero-day DoS sulla VPN SSL di ASA e FTD in pochi mesi, dopo la CVE-2026-20349 di agosto, di cui abbiamo già scritto. SecurityWeek precisa che non si sa se dietro i due casi ci sia lo stesso attore. Quanto alla superficie, BleepingComputer riporta che Shadowserver osserva oltre 51.000 Cisco ASA con VPN SSL esposti su Internet, senza sapere quanti siano già aggiornati o siano honeypot: è un dato di una sola fonte.

Impatto per le aziende europee e italiane

La combinazione colpita, VPN SSL raggiungibile da Internet con un secondo fattore sul tunnel group, è quella tipica dell’accesso remoto aziendale. Un attaccante senza credenziali può quindi riavviare il firewall e far cadere insieme il perimetro e il lavoro da remoto. Per i soggetti NIS2 è una vulnerabilità sfruttata su un dispositivo di perimetro: va gestita con priorità e tempi documentati, e un’interruzione significativa va valutata ai fini della notifica allo CSIRT Italia dell’ACN. Nella sanità, dove medici e fornitori usano spesso la VPN, il rischio è che i servizi clinici diventino irraggiungibili.

Cosa fare subito

1. Controlla la configurazione di ogni ASA e FTD: webvpn, interfacce con la VPN SSL attiva, tunnel-group-list enable e secondary-authentication-server-group su tutti i tunnel group, DefaultWEBVPNGroup compreso.
2. Aggiorna alla release corretta del tuo ramo, partendo dai dispositivi esposti su Internet; per il ramo 9.23 conferma la versione con Cisco.
3. Se non puoi aggiornare subito, valuta la mitigazione di Cisco: disattivare l’autenticazione secondaria su DefaultWEBVPNGroup o sui tunnel group dell’elenco (secondo SecurityWeek, a seconda delle impostazioni del gruppo predefinito, anche disattivare l’elenco dei gruppi). Cisco l’ha provata in un ambiente di test ma avverte che indebolisce l’accesso remoto e può avere effetti su funzionalità e prestazioni: è una misura temporanea da decidere e documentare, non un’alternativa all’aggiornamento.
4. Sorveglia i riavvii: in assenza di indicatori, cerca riavvii inattesi senza modifiche di configurazione né guasti e cadute improvvise di molte sessioni VPN, e conserva le informazioni diagnostiche del dispositivo prima di riavviarlo a mano.
5. Tratta ogni riavvio sospetto come un incidente di sicurezza, non come un semplice guasto.

Come aiuta ARXDOME

ARX Expose mostra se la tua azienda espone su Internet un portale VPN e con quali vulnerabilità note. ARX Sentry porta i log dei firewall in un collettore centrale e la mappa del NOC evidenzia gli errori delle VPN, così un riavvio o una caduta di sessioni restano registrati anche fuori dal dispositivo. ARX Radar segnala gli attacchi in corso sui tuoi indirizzi pubblici.

Ultimo aggiornamento: 29 ottobre 2026