Cisco ASA e FTD: DoS remoto sfruttato, CVE-2026-76418

📌 Sviluppi successivi: Cisco ASA/FTD CVE-2026-76418: chi è esposto e come mitigare (29 ottobre 2026)

Il 29 ottobre 2026 il CERT-FR, il centro di risposta agli incidenti dell’agenzia francese ANSSI, ha pubblicato l’avviso CERTFR-2026-AVI-1412 su una vulnerabilità di Cisco Secure Firewall ASA Software e Secure FTD Software, registrata come CVE-2026-76418. Secondo l’avviso, la vulnerabilità permette a un attaccante di provocare un denial of service (DoS) a distanza, e Cisco indica che è attivamente sfruttata.

Questo articolo si basa su una sola fonte, l’avviso del CERT-FR, che a sua volta rimanda al bollettino di sicurezza di Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75 del 28 ottobre 2026. Di seguito ogni informazione è attribuita all’ente francese; dove l’avviso non fornisce dettagli, lo indichiamo.

Cosa dice l’avviso

L’avviso del CERT-FR è breve e si limita a quattro elementi:

• Rischio: denial of service a distanza.
• Prodotti: Cisco Secure Firewall ASA Software e Secure FTD Software, con l’elenco delle versioni colpite riportato di seguito.
• Sfruttamento: secondo quanto indicato da Cisco, la CVE-2026-76418 è attivamente sfruttata.
• Soluzione: applicare le correzioni indicate nel bollettino di sicurezza di Cisco.

L’avviso non descrive il vettore d’attacco, il componente coinvolto, le condizioni di configurazione necessarie, il punteggio CVSS, eventuali workaround né indicatori di compromissione, e non dice se l’attaccante debba essere autenticato. Per tutti questi elementi il riferimento è il bollettino di Cisco.

Versioni colpite

Secondo il CERT-FR sono colpite le seguenti versioni (traduzione fedele dell’elenco dell’avviso, numeri di versione copiati senza modifiche).

Cisco Secure Firewall ASA Software

• versioni 9.16 e precedenti alla 9.16.4.104
• versioni 9.18.x precedenti alla 9.18.4.96
• versioni 9.20.x precedenti alla 9.20.4.50
• versioni 9.22.x precedenti alla 9.22.3.200
• versioni 9.23.x precedenti alla 9.23.1.48
• versioni 9.24.x precedenti alla «9.24.1.279.24.10.1» (vedi la nota)

Cisco Secure FTD Software

• versioni 10.0.x e precedenti alla 10.0.3
• versioni 10.1.x e precedenti alla 10.1.1
• versioni 7.0 e precedenti alla 7.0.11
• versioni 7.2.x e precedenti alla 7.2.13
• versioni 7.4.x e precedenti alla 7.4.9
• versioni 7.6.x e precedenti alla 7.6.7
• versioni 7.7.x e precedenti alla 7.7.14

Nota sul ramo 9.24 di ASA. Nell’avviso la versione di riferimento del ramo 9.24 compare come «9.24.1.279.24.10.1», un valore che non ha il formato abituale dei numeri di versione di ASA. Dall’avviso non si può stabilire quale sia la versione corretta: verificala nel bollettino di Cisco prima di pianificare l’aggiornamento.

Dettagli tecnici

• CVE: CVE-2026-76418.
• Bollettino del produttore: Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, del 28 ottobre 2026.
• Avviso nazionale: CERT-FR CERTFR-2026-AVI-1412, prima versione del 29 ottobre 2026.
• Impatto: denial of service provocato a distanza, cioè perdita di disponibilità del dispositivo o del servizio colpito. L’avviso non indica impatti su riservatezza o integrità.
• Sfruttamento: attivo, secondo Cisco come riportato dal CERT-FR. L’avviso non fornisce dettagli sugli attacchi osservati, sugli autori o sulle vittime.
• MITRE ATT&CK: un denial of service ottenuto sfruttando una vulnerabilità del software rientra nella tecnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Indicatori di compromissione: nessuno nell’avviso.

Impatto per le aziende europee e italiane

Un firewall è per sua natura un dispositivo di perimetro: se smette di funzionare, possono interrompersi insieme la connettività e i servizi che passano da lui. Il fatto che, secondo Cisco, la vulnerabilità sia già sfruttata rende l’aggiornamento una priorità, non un intervento da rimandare alla prossima finestra ordinaria. L’avviso non indica quanto dura l’interruzione provocata né se l’attacco si possa ripetere.

Per i soggetti NIS2 una vulnerabilità sfruttata su un dispositivo di perimetro rientra nella gestione delle vulnerabilità, con priorità e tempi documentati, e nella continuità operativa. Se il firewall è gestito da un fornitore, la verifica va fatta con lui. Un’interruzione significativa causata da un attacco va valutata ai fini della notifica allo CSIRT Italia dell’ACN. Nella sanità, dove reparti, sedi e fornitori dipendono dalla rete, l’indisponibilità del firewall può rendere irraggiungibili servizi clinici: anche qui l’aggiornamento va pianificato con priorità.

Cosa fare subito

1. Fai l’inventario di tutti i dispositivi con Cisco Secure Firewall ASA Software e Secure FTD Software, compresi quelli gestiti da fornitori, con la versione di ciascuno.
2. Confronta le versioni con l’elenco del CERT-FR e soprattutto con il bollettino di Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, che resta il riferimento per le versioni corrette, in particolare per il ramo 9.24.
3. Leggi nel bollettino di Cisco le condizioni di vulnerabilità e le eventuali mitigazioni temporanee: l’avviso francese non le riporta.
4. Applica le correzioni indicate da Cisco, dando priorità ai dispositivi raggiungibili da Internet, e metti in conto il riavvio nella finestra di manutenzione.
5. Tieni sotto controllo la disponibilità: verifica nei log e nel monitoraggio interruzioni, riavvii o blocchi inattesi dei firewall, e conserva le informazioni diagnostiche generate dal dispositivo prima di un riavvio manuale o di un aggiornamento.
6. Se trovi segni di un attacco, gestiscilo come un incidente di sicurezza, non come una semplice vulnerabilità, e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note, così sai quali firewall sono raggiungibili da fuori. ARX Sentry raccoglie i log dei firewall in un collettore centrale, così la cronologia degli eventi resta disponibile anche fuori dal dispositivo. ARX Radar analizza ogni minuto il traffico in arrivo sul firewall e segnala gli attacchi in corso sul perimetro.

Ultimo aggiornamento: 29 ottobre 2026