O vulnerabilitate de tip 0-day a firewall-ului Cisco Secure este exploatată activ

Cisco a lansat actualizări de securitate pentru vulnerabilitatea CVE-2026-76418, exploatată în mod activ, o vulnerabilitate din software-ul Secure Firewall ASA și FTD care permite atacatorilor la distanță neautentificați să forțeze repornirea dispozitivelor, provocând un atac de tip denial-of-service și perturbând accesul la distanță.

Vulnerabilitatea, clasificată ca având un grad de severitate high, are un scor CvSS de 8.6/10. Cisco a publicat avizul de securitate pe 28 octombrie 2026, după ce echipa sa de răspuns la incidente de securitate a produselor (Product Security Incident Response Team) a aflat despre exploatarea activă a acestei vulnerabilități în luna octombrie.

Vulnerabilitatea provine din erori logice ale serviciului SSL VPN de acces la distanță atunci când autentificarea secundară este configurată pe un grup de tunnel-uri. Un atacator poate trimite o cerere special concepută în timp ce se conectează la serviciul VPN și poate declanșa o reîncărcare a dispozitivului. Nu este necesară o autentificare reușită în VPN pentru a ajunge la calea de procesare afectată.

Avizul emis de Cisco confirmă existența unei vulnerabilități de tip denial-of-service care provoacă repornirea dispozitivelor și întreruperi ale serviciului, dar nu identifică niciun atacator  și nu raportează niciun caz confirmat de sustragere de date sau de executare de cod la distanță.

Această vulnerabilitate vine după atacurile anterioare de blocare a VPN-ului pe firewall-urile Cisco, care implicau CVE-2026-20349. De asemenea, aceasta este distinctă de vulnerabilitatea de tip zero-day de executare a codului pe Cisco ASA, raportată anterior, CVE-2025-20333. Aceste vulnerabilități au cauze diferite și nu trebuie considerate ca fiind echivalente.

Expunerea la risc necesită prezența software-ului ASA sau FTD vulnerabil, a unui serviciu de autentificare VPN cu acces la distanță prin SSL accesibil și a autentificării secundare în cadrul configurației grupului de tunnel-uri relevant.

Administratorii ar trebui să verifice dacă opțiunea webvpn este activată pe o interfață și să inspecteze grupurile de tunnel-uri pentru a identifica grupul de servere de autentificare secundară (secondary-authentication-server-group).

Atunci când este configurată opțiunea tunnel-group-list enable, verificările trebuie să acopere toate grupurile de tunnel-uri, inclusiv DefaultWEBVPNGroup, nu doar profilurile afișate pe pagina de autentificare.

Eliminarea listei de grupuri nu elimină vulnerabilitatea dacă grupul implicit utilizează în continuare autentificarea secundară. Secure FMC, Cloud-delivered Firewall, Cloud-delivered FMC și Secure Access nu sunt afectate.

Versiunile ASA pentru care s-au emis remedieri includ 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 și 9.23.1.48. Cisco menționează, de asemenea, versiunile 9.24.1.27 și 9.24.10.1. Versiunile FTD remediate includ 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 și 10.1.1. Administratorii ar trebui să selecteze versiunea corespunzătoare pentru ramura lor de software.

Cisco nu menționează nicio soluție alternativă, dar oferă îndrumări temporare de atenuare a vulnerabilității pe baza setărilor grupului de tunnel-uri. Dezactivarea listei de grupuri poate fi de ajutor atunci când grupul implicit nu dispune de autentificare secundară.

În caz contrar, eliminarea autentificării secundare reduce nivelul de securitate al rețelei VPN și necesită o analiză atentă. Cisco recomandă cu tărie aplicarea patch-urilor și utilizarea instrumentului său Software Checker pentru a confirma care versiuni sunt vulnerabile și pentru a identifica versiunile remediate adecvate înainte de a planifica actualizările.

Sursă: https://cybersecuritynews.com/cisco-secure-firewall-0-day-vulnerability-exploited/