Cisco ASA și FTD: DoS de la distanță exploatat, CVE-2026-76418

📌 Evoluții ulterioare: Cisco ASA/FTD CVE-2026-76418: cine este expus și cum atenuezi (29 octombrie 2026)

Pe 29 octombrie 2026, CERT-FR, centrul de răspuns la incidente al agenției franceze ANSSI, a publicat avizul CERTFR-2026-AVI-1412 despre o vulnerabilitate din Cisco Secure Firewall ASA Software și Secure FTD Software, înregistrată ca CVE-2026-76418. Potrivit avizului, vulnerabilitatea îi permite unui atacator să provoace un denial of service (DoS) de la distanță, iar Cisco indică faptul că este exploatată activ.

Acest articol se bazează pe o singură sursă, avizul CERT-FR, care la rândul său trimite la buletinul de securitate Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75 din 28 octombrie 2026. În continuare, fiecare informație este atribuită organismului francez; acolo unde avizul nu oferă detalii, o spunem.

Ce spune avizul

Avizul CERT-FR este scurt și se limitează la patru elemente:

• Risc: denial of service de la distanță.
• Produse: Cisco Secure Firewall ASA Software și Secure FTD Software, cu lista versiunilor afectate prezentată în continuare.
• Exploatare: potrivit celor indicate de Cisco, CVE-2026-76418 este exploatată activ.
• Soluție: aplicarea corecțiilor indicate în buletinul de securitate Cisco.

Avizul nu descrie vectorul de atac, componenta implicată, condițiile de configurare necesare, scorul CVSS, eventualele soluții de ocolire sau indicatorii de compromitere și nu spune dacă atacatorul trebuie să fie autentificat. Pentru toate acestea, referința este buletinul Cisco.

Versiuni afectate

Potrivit CERT-FR, sunt afectate următoarele versiuni (traducere fidelă a listei din aviz, numerele de versiune copiate fără modificări).

Cisco Secure Firewall ASA Software

• versiunile 9.16 și anterioare versiunii 9.16.4.104
• versiunile 9.18.x anterioare versiunii 9.18.4.96
• versiunile 9.20.x anterioare versiunii 9.20.4.50
• versiunile 9.22.x anterioare versiunii 9.22.3.200
• versiunile 9.23.x anterioare versiunii 9.23.1.48
• versiunile 9.24.x anterioare versiunii „9.24.1.279.24.10.1” (vezi nota)

Cisco Secure FTD Software

• versiunile 10.0.x și anterioare versiunii 10.0.3
• versiunile 10.1.x și anterioare versiunii 10.1.1
• versiunile 7.0 și anterioare versiunii 7.0.11
• versiunile 7.2.x și anterioare versiunii 7.2.13
• versiunile 7.4.x și anterioare versiunii 7.4.9
• versiunile 7.6.x și anterioare versiunii 7.6.7
• versiunile 7.7.x și anterioare versiunii 7.7.14

Notă despre ramura 9.24 a ASA. În aviz, versiunea de referință pentru ramura 9.24 apare ca „9.24.1.279.24.10.1”, o valoare care nu are formatul obișnuit al numerelor de versiune ASA. Din aviz nu se poate stabili care este versiunea corectă: verific-o în buletinul Cisco înainte de a planifica actualizarea.

Detalii tehnice

• CVE: CVE-2026-76418.
• Buletinul producătorului: Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, din 28 octombrie 2026.
• Aviz național: CERT-FR CERTFR-2026-AVI-1412, prima versiune din 29 octombrie 2026.
• Impact: denial of service provocat de la distanță, adică pierderea disponibilității dispozitivului sau a serviciului afectat. Avizul nu indică un impact asupra confidențialității sau integrității.
• Exploatare: activă, potrivit Cisco, așa cum relatează CERT-FR. Avizul nu oferă detalii despre atacurile observate, autori sau victime.
• MITRE ATT&CK: un denial of service obținut prin exploatarea unei vulnerabilități software se încadrează în tehnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Indicatori de compromitere: niciunul în aviz.

Impactul pentru companiile europene și italiene

Un firewall este prin natura sa un dispozitiv de perimetru: dacă nu mai funcționează, se pot întrerupe în același timp conectivitatea și serviciile care trec prin el. Faptul că, potrivit Cisco, vulnerabilitatea este deja exploatată face din actualizare o prioritate, nu o operațiune de amânat până la următoarea fereastră de mentenanță obișnuită. Avizul nu indică cât durează întreruperea provocată și nici dacă atacul poate fi repetat.

Pentru entitățile NIS2, o vulnerabilitate exploatată pe un dispozitiv de perimetru ține de gestionarea vulnerabilităților, cu priorități și termene documentate, și de continuitatea operațională. Dacă firewall-ul este administrat de un furnizor, verificarea trebuie făcută împreună cu acesta. O întrerupere semnificativă cauzată de un atac trebuie evaluată în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. În sănătate, unde secții, sedii și furnizori depind de rețea, un firewall indisponibil poate face inaccesibile serviciile clinice: și aici actualizarea trebuie planificată cu prioritate.

Ce să faci acum

1. Fă inventarul tuturor dispozitivelor cu Cisco Secure Firewall ASA Software și Secure FTD Software, inclusiv al celor administrate de furnizori, cu versiunea fiecăruia.
2. Compară versiunile cu lista CERT-FR și mai ales cu buletinul Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, care rămâne referința pentru versiunile corectate, în special pentru ramura 9.24.
3. Citește în buletinul Cisco condițiile de vulnerabilitate și eventualele măsuri temporare de atenuare: avizul francez nu le include.
4. Aplică corecțiile indicate de Cisco, cu prioritate pentru dispozitivele accesibile din Internet, și ține cont de repornire în fereastra de mentenanță.
5. Urmărește disponibilitatea: verifică în jurnale și în monitorizare întreruperile, repornirile sau blocările neașteptate ale firewall-urilor și păstrează informațiile de diagnostic generate de dispozitiv înainte de o repornire manuală sau de o actualizare.
6. Dacă găsești semne ale unui atac, tratează-l ca pe un incident de securitate, nu ca pe o simplă vulnerabilitate, și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose îți arată ce servicii expune compania ta pe Internet, produsele recunoscute și vulnerabilitățile lor cunoscute, ca să știi ce firewall-uri sunt accesibile din exterior. ARX Sentry colectează jurnalele firewall-urilor într-un colector central, astfel încât istoricul evenimentelor rămâne disponibil și în afara dispozitivului. ARX Radar analizează în fiecare minut traficul care ajunge la firewall și semnalează atacurile în curs asupra perimetrului.

Ultima actualizare: 29 octombrie 2026