Cisco ASA/FTD CVE-2026-76418: cine este expus și cum atenuezi

Pe 28 octombrie 2026 Cisco a publicat buletinul despre CVE-2026-76418 din Secure Firewall ASA și Secure Firewall Threat Defense (FTD), deja exploatată ca zero-day. Am scris despre ea pe 29 octombrie pornind de la avizul CERT-FR, care menționa doar riscul de denial of service și versiunile afectate. Între timp BleepingComputer, SecurityWeek, CSO Online, Canadian Centre for Cyber Security și INCIBE-CERT au adăugat ce lipsea: componenta implicată, condițiile de configurare, o atenuare temporară și includerea în catalogul KEV al CISA.

Defectul: autentificarea secundară în tunnel group-uri

Potrivit descrierii Cisco preluate de publicații, vulnerabilitatea provine din erori de logică în serviciul Remote Access SSL VPN atunci când pe un tunnel group este configurată autentificarea secundară. Un atacator de la distanță și neautentificat trimite o cerere construită special în timpul conectării la VPN-ul SSL și provoacă repornirea neașteptată a dispozitivului, adică un denial of service. SecurityWeek citează o precizare a Cisco: pentru a ajunge la codul vulnerabil nu este nevoie de o autentificare VPN reușită.

Scorul CVSS este 8.6 (ridicat), potrivit SecurityWeek și CSO Online. Impactul descris privește disponibilitatea: nicio sursă nu vorbește despre execuție de cod sau acces la date. În termeni MITRE ATT&CK rămâne tehnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation), deja indicată în primul articol.

Cine este cu adevărat expus

Trebuie îndeplinite simultan trei condiții (SecurityWeek, CSO Online, INCIBE-CERT):

• firewall-ul rulează o versiune necorectată de ASA sau FTD;
• serviciul de autentificare al VPN-ului SSL este accesibil: configurația activă conține cuvântul cheie webvpn, iar VPN-ul SSL este activ pe cel puțin o interfață;
• cel puțin un tunnel group afectat folosește autentificarea secundară (secondary-authentication-server-group).

Buletinul, citat de CSO Online, explică cum verifici tunnel group-urile. Dacă este configurat tunnel-group-list enable, trebuie verificate toate, inclusiv cel implicit, DefaultWEBVPNGroup. Dacă comanda lipsește sau a fost eliminată cu no tunnel-group-list enable, verifică oricum DefaultWEBVPNGroup: dezactivarea listei de grupuri nu elimină expunerea dacă grupul implicit folosește autentificarea secundară.

Potrivit SecurityWeek, nu sunt vulnerabile firewall-urile și soluțiile de administrare livrate din cloud, Secure Access și Secure Firewall Management Center (FMC).

Versiuni corectate și un punct de clarificat

Primul articol semnala o valoare ilizibilă pentru ramura 9.24 în avizul francez. Canadian Centre for Cyber Security și CSO Online o clarifică: corecțiile ramurii 9.24 sunt 9.24.1.27 și 9.24.10.1. Versiunile corectate sunt:

• ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, ramura 9.23 (vezi în continuare), 9.24.1.27 și 9.24.10.1;
• FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 și 10.1.1.

Pentru ramura 9.23 sursele diferă: Canadian Centre for Cyber Security indică 9.23.1.4, în timp ce CSO Online, ca anterior CERT-FR, indică 9.23.1.48. Înainte să planifici actualizarea, verifică versiunea exactă în buletinul Cisco sau cu Cisco Software Checker.

Același aviz canadian (AV26-1102) acoperă și vulnerabilități Node.js din Cisco Smart Software Manager On-Prem, corectate în versiunea 10-202610: este un buletin separat, care nu trebuie confundat cu această CVE.

Exploatare și context

Cisco a aflat de exploatare în octombrie, dar nu a publicat indicatori de compromitere și nici informații despre atacatori și ținte (BleepingComputer, SecurityWeek). Pe 29 octombrie CISA a adăugat CVE-2026-76418 în catalogul Known Exploited Vulnerabilities, după cum relatează Canadian Centre for Cyber Security. Potrivit SecurityWeek, defectul a ieșit la iveală într-un caz de suport al Cisco TAC și este atribuit lui Eric Fernald.

Este al doilea zero-day DoS în VPN-ul SSL din ASA și FTD în câteva luni, după CVE-2026-20349 din august, despre care am scris deja. SecurityWeek precizează că nu se știe dacă în spatele celor două cazuri se află același actor. Cât despre suprafața de atac, BleepingComputer relatează că Shadowserver observă peste 51.000 de Cisco ASA cu VPN SSL expuse pe Internet, fără să știe câte sunt deja actualizate sau sunt honeypot-uri: este o informație dintr-o singură sursă.

Impactul pentru companiile europene și italiene

Combinația afectată, VPN SSL accesibil din Internet cu un al doilea factor pe tunnel group, este configurația tipică a accesului remote în companii. Un atacator fără credențiale poate deci reporni firewall-ul și poate scoate din funcțiune în același timp perimetrul și munca de la distanță. Pentru entitățile NIS2 este o vulnerabilitate exploatată pe un dispozitiv de perimetru: trebuie gestionată cu priorități și termene documentate, iar o întrerupere semnificativă trebuie evaluată în vederea notificării către autoritatea competentă (în Italia, CSIRT Italia din cadrul ACN). În sănătate, unde medicii și furnizorii folosesc des VPN-ul, riscul este ca serviciile clinice să devină inaccesibile.

Ce să faci imediat

1. Verifică configurația fiecărui ASA și FTD: webvpn, interfețele cu VPN SSL activ, tunnel-group-list enable și secondary-authentication-server-group pe toate tunnel group-urile, inclusiv DefaultWEBVPNGroup.
2. Actualizează la versiunea corectată a ramurii tale, începând cu dispozitivele expuse pe Internet; pentru ramura 9.23 confirmă versiunea cu Cisco.
3. Dacă nu poți actualiza imediat, evaluează atenuarea Cisco: dezactivarea autentificării secundare pe DefaultWEBVPNGroup sau pe tunnel group-urile din listă (potrivit SecurityWeek, în funcție de setările grupului implicit, și dezactivarea listei de grupuri). Cisco a testat-o într-un mediu de test, dar avertizează că slăbește accesul remote și poate afecta funcționalitatea și performanța: este o măsură temporară, de decis și documentat, nu o alternativă la actualizare.
4. Urmărește repornirile: în lipsa indicatorilor, caută reporniri neașteptate fără modificări de configurație sau defecțiuni și căderi bruște ale multor sesiuni VPN, și păstrează informațiile de diagnostic ale dispozitivului înainte să-l repornești manual.
5. Tratează orice repornire suspectă ca pe un incident de securitate, nu ca pe o simplă defecțiune.

Cum ajută ARXDOME

ARX Expose arată dacă firma ta expune pe Internet un portal VPN și cu ce vulnerabilități cunoscute. ARX Sentry trimite logurile firewall-urilor într-un colector central, iar harta NOC evidențiază erorile VPN, astfel încât o repornire sau o cădere a sesiunilor rămâne înregistrată și în afara dispozitivului. ARX Radar semnalează atacurile în desfășurare asupra adreselor tale publice.

Ultima actualizare: 29 octombrie 2026