Cisco vydal bezpečnostné aktualizácie pre aktívne zneužívanú zraniteľnosť CVE-2026-76418 v softvéri Secure Firewall ASA a FTD. Chyba umožňuje neautentifikovaným vzdialeným útočníkom vynútiť reštart zariadenia, čo vedie k odmietnutiu služby (denial of service, DoS) a narúša vzdialený prístup.
Zraniteľnosť s vysokou závažnosťou má skóre CVSS 8.6. Cisco zverejnil bezpečnostné upozornenie 28. októbra 2026, po tom, čo sa jeho tím Product Security Incident Response Team (PSIRT) dozvedel o aktívnom zneužívaní počas októbra. Problém objavil Eric Fernald pri riešení prípadu podpory v Cisco Technical Assistance Center.
Chyba pramení z logických chýb v službe Remote Access SSL VPN, ak je na tunelovej skupine (tunnel group) nakonfigurované sekundárne overenie. Útočník môže počas pripájania k službe VPN poslať špeciálne vytvorenú požiadavku a vyvolať neočakávaný reload zariadenia. Na dosiahnutie zraniteľnej časti spracovania nie je potrebné úspešné prihlásenie do VPN.
Upozornenie spoločnosti Cisco potvrdzuje problém typu denial of service, ktorý spôsobuje reštarty zariadení a výpadky služieb. Neuvádza však žiadnych útočníkov ani obete a nehlási potvrdenú krádež dát ani vzdialené spustenie kódu (RCE).
Súvislosti: zero-day v Cisco Secure Firewall
Zraniteľnosť nadväzuje na skoršie útoky na VPN firewallov Cisco, ktoré zariadenia zrútili, v súvislosti s CVE-2026-20349. Zároveň je samostatná od skôr hlásenej zero-day zraniteľnosti Cisco ASA umožňujúcej spustenie kódu, CVE-2025-20333. Tieto chyby majú odlišné príčiny a nemožno ich považovať za zameniteľné.
Kto je ohrozený
Expozícia vyžaduje súčasné splnenie týchto podmienok:
- zraniteľný softvér ASA alebo FTD,
- dostupná prihlasovacia služba SSL remote access VPN,
- sekundárne overenie v konfigurácii príslušnej tunelovej skupiny.
Administrátori by mali skontrolovať, či je na rozhraní povolené webvpn, a preveriť tunelové skupiny na prítomnosť secondary-authentication-server-group.
Ak je nastavené tunnel-group-list enable, kontrola musí zahŕňať všetky tunelové skupiny, vrátane DefaultWEBVPNGroup, nielen profily zobrazené na prihlasovacej stránke. Odstránenie zoznamu skupín (group list) expozíciu neodstráni, ak predvolená skupina stále používa sekundárne overenie.
Nie sú postihnuté: Secure FMC, Cloud-delivered Firewall, cloud-delivered FMC a Secure Access.
Opravené verzie
ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 a 9.23.1.48. Cisco uvádza aj 9.24.1.27 a 9.24.10.1.
FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 a 10.1.1.
Administrátori by si mali vybrať vhodné vydanie pre svoju vetvu softvéru.
Mitigácie a odporúčania
Cisco neuvádza žiadne workaround riešenie, poskytuje však dočasné odporúčania na zmiernenie založené na nastaveniach tunelových skupín. Vypnutie zoznamu skupín môže pomôcť, ak predvolená skupina nemá sekundárne overenie.
V opačnom prípade odstránenie sekundárneho overenia znižuje bezpečnosť VPN a vyžaduje starostlivé posúdenie. Cisco dôrazne odporúča aktualizovať softvér a použiť nástroj Software Checker na zistenie, ktoré verzie sú zraniteľné, a na výber vhodného opraveného softvéru pred plánovaním upgradov.