Segui Cisco ha rilasciato aggiornamenti di sicurezza per CVE-2026-76418, una vulnerabilità zero-day ad alta gravità che interessa il servizio VPN SSL di accesso remoto nel Cisco Secure Firewall Adaptive Security Appliance (ASA) e nel software Secure Firewall Threat Defense (FTD). Il difetto viene attivamente sfruttato in natura e può consentire a un utente remoto non autenticato di forzare il riavvio di un firewall vulnerabile, causando una condizione di denial-of-service (DoS) e interrompendo l’accesso remoto.
Cisco ha assegnato alla vulnerabilità un punteggio CVSS 3.1 di 8.6. Il difetto non richiede autenticazione o interazione dell’utente e presenta una bassa complessità di attacco. La sua principale conseguenza sulla sicurezza è la perdita di disponibilità piuttosto che il compromesso della riservatezza o dell’integrità. Cisco non ha associato la vulnerabilità all’esecuzione di codice remoto o a furti di dati confermati.
La vulnerabilità è particolarmente importante perché i dispositivi di sicurezza periferici e i gateway VPN sono spesso direttamente esposti a Internet e forniscono un accesso critico agli ambienti aziendali. Lo sfruttamento ripetuto potrebbe costringere i dispositivi interessati a riavviarsi e interrompere la connettività VPN per dipendenti e amministratori remoti.
Cisco ha divulgato la vulnerabilità il 28 ottobre 2026, dopo che il suo Product Security Incident Response Team (PSIRT) è venuto a conoscenza dello sfruttamento attivo durante il mese di ottobre. Il problema è stato originariamente identificato da Eric Fernald durante la risoluzione di un caso di supporto del Cisco Technical Assistance Center.
Per il rilevamento di CVE-2026-76418, i team di sicurezza dovrebbero dare priorità al monitoraggio di dispositivi Cisco ASA e FTD esposti a Internet per riavvii inaspettati, tentativi ripetuti di connessione VPN SSL, attività di autenticazione anomala e interruzioni della disponibilità che influenzano i servizi di accesso remoto.
La piattaforma AI-Native Detection Intelligence di SOC Prime consente ai team di sicurezza di migliorare la visibilità dello sfruttamento delle vulnerabilità e del comportamento sospetto nei sistemi SIEM, EDR, firewall, rete e telemetria di identità.
Clic Esplora le Rilevazioni per accedere ai contenuti di rilevazione rilevanti e alla logica di threat hunting. Per rilevare CVE-2026-76418, i difensori dovrebbero combinare la valutazione della configurazione del firewall con la telemetria della VPN, eventi di riavvio del dispositivo, attività di rete e registri di autenticazione per identificare i tentativi di sfruttamento e confermare l’esposizione.
Analisi di CVE-2026-76418
La vulnerabilità esiste nella funzionalità VPN SSL di accesso remoto del software Cisco Secure Firewall ASA e Secure FTD.
Secondo Cisco, la causa principale riguarda errori logici che si verificano quando l’autenticazione secondaria è configurata su un gruppo tunnel. Un attaccante non autenticato può inviare una richiesta appositamente manipolata mentre si connette al servizio VPN SSL di accesso remoto e attivare un riavvio del dispositivo imprevisto.
In particolare, un’autenticazione VPN riuscita non è necessaria per raggiungere il percorso di elaborazione vulnerabile. Questo aumenta significativamente la superficie di attacco potenziale poiché un attaccante ha bisogno solo di accesso alla rete al servizio VPN SSL esposto anziché di credenziali VPN valide.
I dettagli per CVE-2026-76418 indicano che devono essere presenti tre condizioni principali affinché un dispositivo sia esposto:
- Il firewall deve eseguire una versione vulnerabile di Cisco Secure Firewall ASA o FTD.
- Il servizio di login VPN SSL di accesso remoto deve essere raggiungibile.
- L’autenticazione secondaria deve essere configurata all’interno di un gruppo tunnel interessato.
Cisco raccomanda agli amministratori di stabilire innanzitutto se la funzionalità SSL VPN è abilitata. Nei sistemi ASA, le configurazioni contenenti webvpn con SSL VPN abilitato su un’interfaccia richiedono ulteriori verifiche. Gli amministratori FTD dovrebbero esaminare la configurazione VPN di accesso remoto distribuita tramite Secure Firewall Management Center o Device Manager.
Gli amministratori dovrebbero quindi ispezionare i gruppi tunnel per:
secondary-authentication-server-group
Quando è configurato tunnel-group-list enable, ogni gruppo tunnel dovrebbe essere esaminato, incluso DefaultWEBVPNGroup. Cisco avverte specificamente che controllare solo i profili di connessione visualizzati sulla pagina di login VPN è insufficiente.
Rimuovere o disabilitare l’elenco dei gruppi tunnel non elimina automaticamente l’esposizione. Se DefaultWEBVPNGroup utilizza ancora l’autenticazione secondaria, il percorso vulnerabile rimane raggiungibile.
CVE-2026-76418 interessa le implementazioni di Cisco Secure Firewall ASA e Secure FTD che soddisfano queste condizioni di configurazione e eseguono versioni del software vulnerabili.
Cisco ha confermato che i seguenti prodotti non sono interessati:
- Firewall con consegna cloud
- Centro di gestione Firewall con consegna cloud
- Cisco Secure Access
- Software del Centro di Gestione del Firewall Sicuro
Il difetto è classificato come CWE-690, che si riferisce a un valore di ritorno non controllato che porta a una dereferenziazione di puntatore NULL. Il vettore CVSS di Cisco riflette l’accessibilità alla rete, bassa complessità di attacco, nessun privilegio richiesto, nessuna interazione dell’utente e alto impatto sulla disponibilità.
Un attacco riuscito non fornisce all’avversario l’accesso amministrativo al firewall in base alle informazioni attualmente divulgate. Invece, il dispositivo si riavvia inaspettatamente, interrompendo la sua disponibilità.
A seconda dell’architettura di rete, lo sfruttamento ripetuto potrebbe avere conseguenze operative più ampie. Un firewall interessato potrebbe fornire connettività remota per dipendenti, amministratori, partner o servizi di terze parti. L’interruzione di quel gateway può quindi interferire con le operazioni aziendali anche senza compromettere i dati.
Cisco ha confermato che attacchi che sfruttano la vulnerabilità si sono verificati durante ottobre 2026 ma non ha identificato i responsabili o divulgato informazioni sulle vittime. Anche CybersecurityNews riporta che non vi è alcun collegamento confermato con furti di dati o esecuzione di codice remoto.
Il problema dovrebbe essere distinto da altre vulnerabilità del firewall Cisco recentemente divulgate. È separato dai difetti segnalati in precedenza che interessano l’infrastruttura ASA e VPN di Cisco, con cause tecniche e percorsi di sfruttamento diversi.
Al momento della stesura, né l’avviso di Cisco né i rapporti forniti offrono un PoC pubblico per CVE-2026-76418 contenente codice di sfruttamento riproducibile. L’assenza di una prova di concetto pubblica non riduce l’urgenza della soluzione poiché Cisco ha già confermato lo sfruttamento nel mondo reale.
Cisco non ha inoltre pubblicato IOC specifici per la campagna di CVE-2026-76418, come indirizzi IP degli attaccanti, domini, hash dei payload o infrastruttura di minacce nominata.
Questo significa che i difensori dovrebbero dare priorità alla ricerca comportamentale e basata sulla configurazione piuttosto che affidarsi esclusivamente agli indicatori statici.
I potenziali punti di indagine includono:
- Riavvii imprevisti di ASA o FTD senza spiegazione amministrativa o di manutenzione
- Connessioni ripetute al servizio VPN SSL pubblico immediatamente prima di un riavvio
- Gruppi di richieste anomale di accesso remoto VPN da infrastrutture esterne
- Interruzioni ripetute della disponibilità che influenzano il gateway VPN
- Tempo di attività del firewall che si riavvia inaspettatamente
- Attività di autenticazione insolita intorno ai riavvii del dispositivo
- Connessioni ripetute da bande IP stesse o correlate prima dell’interruzione del servizio
- Molteplici riavvii dei dispositivi senza spiegazione in un breve periodo
I team dovrebbero anche correlare gli eventi del firewall con la telemetria di rete a monte. Bilanciatori di carico, router di bordo, sistemi di protezione DDoS, piattaforme IDS/IPS o strumenti di monitoraggio esterni possono conservare prove di connessioni che si sono verificate immediatamente prima che il firewall diventasse non disponibile.
Preservare questa telemetria è particolarmente importante quando il firewall stesso viene riavviato ripetutamente poiché alcune informazioni diagnostiche volatili potrebbero andare perse.
Le organizzazioni dovrebbero inoltre determinare se gli attaccanti hanno tentato altre attività prima o dopo lo sfruttamento. Attualmente, Cisco caratterizza la vulnerabilità come un difetto di denial-of-service, quindi i difensori dovrebbero evitare di interpretare automaticamente un blocco del dispositivo come prova di un compromesso completo del firewall.
Tuttavia, un riavvio inspiegabile di un dispositivo di sicurezza esposto a Internet merita ancora un’indagine, specialmente quando lo sfruttamento è stato confermato in natura.
Mitigazione CVE-2026-76418
Cisco ha rilasciato software ASA e FTD corretti e raccomanda fortemente l’aggiornamento poiché nessuna soluzione alternativa completa affronta la vulnerabilità sottostante.
Le prime versioni corrette di Cisco Secure Firewall ASA sono:
| Ramo di rilascio ASA | Prima versione corretta |
| 9.16 e precedenti | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Per Secure FTD, Cisco elenca:
| Ramo di rilascio FTD | Prima versione corretta |
| 7.0 e precedenti | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Le organizzazioni dovrebbero utilizzare il Software Checker di Cisco e la documentazione di compatibilità per determinare la versione corretta corretta per il loro hardware specifico e il ramo software attualmente installato.
Sebbene Cisco non elenchi una soluzione alternativa che risolva completamente la vulnerabilità, documenta mitigazioni temporanee di configurazione che coinvolgono l’autenticazione secondaria.
Il mitigazione di CVE-2026-76418 raccomandato dipende da come sono configurati i gruppi tunnel.
Se DefaultWEBVPNGroup non utilizza l’autenticazione secondaria, gli amministratori possono disabilitare l’elenco dei gruppi tunnel utilizzando:
no tunnel-group-list enable
Questo impedisce agli utenti di selezionare un profilo di connessione da un elenco e invece richiede di conoscere il profilo corretto.
Se DefaultWEBVPNGroup utilizza l’autenticazione secondaria, gli amministratori possono rimuoverlo utilizzando:
no secondary-authentication-server-group
Tuttavia, Cisco avverte che la rimozione dell’autenticazione secondaria riduce la postura di sicurezza dell’autenticazione VPN di accesso remoto. Le organizzazioni dovrebbero quindi valutare attentamente questa misura temporanea prima di applicarla.
Questi cambiamenti devono essere considerati misure temporanee di riduzione del rischio piuttosto che sostituzioni al patching.
Poiché lo sfruttamento è già in corso, le organizzazioni dovrebbero dare priorità ai sistemi che sono:
- Esposti a Internet
- Eseguendo versioni vulnerabili di ASA o FTD
- Forniscono connettività VPN SSL di accesso remoto
- Utilizzando l’autenticazione secondaria
- Supportano connettività remota o amministrativa essenziale
I team di sicurezza dovrebbero anche verificare se l’architettura ad alta disponibilità o di failover potrebbe ridurre l’interruzione operativa durante gli aggiornamenti.
Dopo aver applicato gli aggiornamenti, confermare la versione del software in esecuzione e verificare che il dispositivo sia tornato in servizio con successo.
Gli amministratori dovrebbero rivedere i registri di sistema che coprono il periodo precedente al patching per riavvii inspiegabili o altri segni di sfruttamento.
Se viene identificata un’attività sospetta, conservare le seguenti informazioni pertinenti:
- Registri di sistema ASA o FTD
- Registri VPN di accesso remoto
- Telemetria di autenticazione
- Storia della configurazione del firewall
- Dati di flusso di rete upstream
- Dati di monitoraggio esterno
- Registri del provider di identità associati all’autenticazione secondaria
Poiché Cisco ha divulgato solo un impatto sulla disponibilità, i risponditori dovrebbero distinguere le prove confermate dalla speculazione. Un riavvio inaspettato del firewall non stabilisce di per sé che un attaccante abbia ottenuto file di configurazione, credenziali o esecuzione di codice.
Tuttavia, le organizzazioni che sperimentano riavvii dei dispositivi non spiegati dovrebbero rivedere i sistemi adiacenti e l’attività di autenticazione per garantire che gli attaccanti non stessero tentando simultaneamente altre tecniche.
Gli amministratori dovrebbero anche evitare di ritardare gli aggiornamenti solo perché non è disponibile un codice di sfruttamento pubblico. Lo sfruttamento attivo è avvenuto prima della divulgazione pubblica, dimostrando che almeno un attaccante possedeva già la capacità di innescare il comportamento vulnerabile.
Disclaimer: I contenuti di rilevazione potrebbero non essere disponibili per ogni CVE. Controllare la piattaforma SOC Prime per la copertura attuale. Se le rilevazioni rilevanti non sono ancora disponibili, verificare nuovamente poiché nuove informazioni sulle minacce e contenuti di rilevazione vengono continuamente aggiunti.
FAQ
Cosa è CVE-2026-76418 e come funziona?
CVE-2026-76418 è una vulnerabilità ad alta gravità di denial-of-service nella funzionalità VPN SSL di accesso remoto del software Cisco Secure Firewall ASA e Secure FTD. La vulnerabilità risulta da errori logici attivati quando l’autenticazione secondaria è configurata su un gruppo tunnel interessato. Un attaccante remoto non autenticato può inviare una richiesta manipolata al servizio VPN SSL e causare l’inaspettato riavvio del firewall. Un accesso VPN riuscito non è richiesto per raggiungere il percorso di elaborazione vulnerabile.
Quando è stato scoperto per la prima volta CVE-2026-76418?
Cisco ha divulgato pubblicamente la vulnerabilità il 28 ottobre 2026. Il problema è stato identificato da Eric Fernald durante la risoluzione di un caso di supporto del Cisco Technical Assistance Center. Cisco PSIRT è venuto a conoscenza durante ottobre 2026 che gli attaccanti stavano già sfruttando la vulnerabilità in ambienti reali.
Qual è l’impatto di CVE-2026-76418 sui sistemi?
Lo sfruttamento riuscito può forzare il riavvio di un dispositivo Cisco ASA o FTD interessato, causando una condizione di denial-of-service e interrompendo la disponibilità del firewall o dell’accesso remoto VPN. Cisco assegna alla vulnerabilità un punteggio CVSS di 8.6 con un elevato impatto sulla disponibilità, ma nessun impatto documentato sulla riservatezza o sull’integrità al momento. Il venditore non ha segnalato esecuzioni di codice remoto o Furti di dati confermati derivanti dal difetto.
CVE-2026-76418 può ancora colpirmi nel 2026?
Sì. La vulnerabilità viene attivamente sfruttata e rimane un rischio per le organizzazioni che eseguono versioni vulnerabili di Cisco ASA o FTD dove il servizio VPN SSL di accesso remoto è raggiungibile e l’autenticazione secondaria è configurata in un gruppo tunnel interessato. I sistemi aggiornati alle versioni del software corrette di Cisco sono protetti dalla vulnerabilità descritta nell’avviso.
Come posso proteggermi da CVE-2026-76418?
Aggiorna il software Cisco Secure Firewall ASA o FTD alla versione fissa appropriata elencata nell’avviso di sicurezza di Cisco. Gli amministratori dovrebbero anche verificare se il VPN SSL di accesso remoto è abilitato, ispezionare tutti i gruppi tunnel rilevanti per l’autenticazione secondaria e rivedere la configurazione DefaultWEBVPNGroup. Dove esecutare immediatamente le patches non è possibile, Cisco fornisce opzioni di mitigazione temporanea che implicano la disabilitazione dell’elenco del gruppo tunnel o la rimozione dell’autenticazione secondaria. Poiché questi cambiamenti possono influenzer la funzionalità o ridurre la sicurezza dell’autenticazione, dovrebbero essere valutati attentamente e utilizzati solo fino a quando il dispositivo interessato non può essere aggiornato.
