CVE-2026-76418: Zero-Day w Cisco Secure Firewall Wykorzystywany w Atakach na SSL VPN

Cisco opublikowało aktualizacje zabezpieczeń dla CVE-2026-76418, poważnej podatności zero-day, która dotyczy usługi Remote Access SSL VPN w Cisco Secure Firewall Adaptive Security Appliance (ASA) i oprogramowaniu Secure Firewall Threat Defense (FTD). Luka jest aktywnie wykorzystywana na wolności i może pozwolić niezautoryzowanemu zdalnemu atakującemu zmusić podatną zaporę do ponownego załadowania, powodując kondycję odmowy usługi (DoS) i zakłócając zdalny dostęp.

Cisco przypisało podatności wynik CVSS 3.1 na poziomie 8.6. Luka nie wymaga uwierzytelnienia ani interakcji użytkownika i ma niską złożoność ataku. Jej głównym skutkiem bezpieczeństwa jest utrata dostępności, a nie kompromitacja poufności czy integralności. Cisco nie powiązało podatności z zdalnym wykonywaniem kodu ani nie potwierdziło kradzieży danych.

Podatność jest szczególnie ważna, ponieważ urządzenia zabezpieczające peryferie oraz bramy VPN są często bezpośrednio wystawione na internet i zapewniają krytyczny dostęp do środowisk korporacyjnych. Powtarzane wykorzystywanie mogłoby zmusić dotknięte urządzenia do ponownego uruchomienia i przerwania łączności VPN dla zdalnych pracowników i administratorów.

Cisco ujawniło podatność 28 października 2026 roku, po tym jak jego Zespół ds. Reagowania na Incydenty Związane z Bezpieczeństwem Produktów (PSIRT) dowiedział się o aktywnym wykorzystywaniu w październiku. Problem został pierwotnie zidentyfikowany przez Erica Fernalda podczas rozwiązywania sprawy wsparcia Centrum Pomocy Technicznej Cisco.

W celu wykrycia CVE-2026-76418 zespoły bezpieczeństwa powinny priorytetowo monitorować urządzenia Cisco ASA i FTD skierowane na internet w poszukiwaniu niespodziewanych ponownych załadunków, powtarzających się prób połączeń SSL VPN, nietypowej aktywności uwierzytelniania oraz zakłóceń dostępności wpływających na usługi zdalnego dostępu.

Platforma SOC Prime AI-Native Detection Intelligence umożliwia zespołom bezpieczeństwa wzmocnienie widoczności wykorzystywania podatności i podejrzanego zachowania w telemetrii SIEM, EDR, zapory, sieci i tożsamości.

Kliknij Odkryj wykrycia aby uzyskać dostęp do odpowiednich treści wykrywania i logiki polowania na zagrożenia. Aby wykryć CVE-2026-76418, obrońcy powinni połączyć ocenę konfiguracji zapory z telemetrią VPN, zdarzeniami ponownego załadunku urządzeń, aktywnością sieciową i dziennikami uwierzytelniania, aby zidentyfikować próby wykorzystania i potwierdzić ekspozycję.

Skontaktuj się z działem sprzedaży

Analiza CVE-2026-76418

Podatność istnieje w funkcjonalności Remote Access SSL VPN oprogramowania Cisco Secure Firewall ASA i Secure FTD.

Według Cisco podstawową przyczyną jest błąd logiczny, który występuje, gdy skonfigurowano dodatkowe uwierzytelnianie w grupie tuneli. Niezautoryzowany atakujący może wysłać specjalnie przygotowane żądanie podczas łączenia się z usługą SSL remote-access VPN i spowodować niespodziewany ponowny załadunek urządzenia.

Co ważne, pomyślne uwierzytelnienie VPN nie jest wymagane, aby dotrzeć do podatnej ścieżki przetwarzania. Znacznie zwiększa to potencjalną powierzchnię ataku, ponieważ atakujący potrzebuje jedynie dostępu sieciowego do udostępnionej usługi SSL VPN, a nie ważnych poświadczeń VPN.

Szczegóły dotyczące CVE-2026-76418 wskazują na to, że trzy podstawowe warunki muszą być spełnione, aby urządzenie było narażone na atak:

• Zapora musi działać na podatnej wersji oprogramowania Cisco Secure Firewall ASA lub FTD.
• Usługa logowania SSL Remote Access VPN musi być dostępna.
• Dodatkowe uwierzytelnianie musi być skonfigurowane w podatnej grupie tunelowej.

Cisco zaleca, aby administratorzy w pierwszej kolejności ustalili, czy funkcjonalność SSL VPN jest włączona. W systemach ASA, konfiguracje zawierające webvpn z włączoną opcją SSL VPN na interfejsie wymagają dodatkowej weryfikacji. Administratorzy FTD powinni zbadać wdrożoną konfigurację Remote Access VPN za pośrednictwem Secure Firewall Management Center lub Device Manager.

Administratorzy powinni następnie sprawdzić grupy tunelowe pod kątem:

secondary-authentication-server-group

Gdy skonfigurowano opcję tunnel-group-list enable, każda grupa tunelowa powinna zostać przeanalizowana, w tym DefaultWEBVPNGroup. Cisco szczególnie ostrzega, że sprawdzenie tylko profili połączeń wyświetlonych na stronie logowania VPN jest niewystarczające.

Usunięcie lub wyłączenie listy grup tunelowych nie eliminuje automatycznie zagrożenia. Jeśli DefaultWEBVPNGroup nadal używa dodatkowego uwierzytelniania, podatna ścieżka pozostaje dostępna.

CVE-2026-76418 wpływa na wdrożenia Cisco Secure Firewall ASA i Secure FTD, które spełniają te warunki konfiguracyjne i działają na podatnych wersjach oprogramowania.

Cisco potwierdziło, że następujące produkty nie są dotknięte:

• Brama zapory dostarczana w chmurze
• Centrum zarządzania zaporą dostarczaną w chmurze
• Cisco Secure Access
• Oprogramowanie Secure Firewall Management Center

Luka jest sklasyfikowana jako CWE-690, co dotyczy niekontrolowanej wartości powrotnej prowadzącej do odwołania do wskaźnika NULL. Wektor CVSS firmy Cisco odzwierciedla dostępność sieci, niską złożoność ataku, brak wymaganych uprawnień, brak interakcji użytkownika i wysoki wpływ na dostępność.

Udany atak nie zapewnia przeciwnikowi dostępu administracyjnego do zapory na podstawie aktualnie ujawnionych informacji. Zamiast tego urządzenie niespodziewanie się przeładowuje, przerywając jego dostępność.

W zależności od architektury sieci, powtarzająca się eksploatacja może mieć szersze konsekwencje operacyjne. Dotknięta zapora może zapewniać zdalną łączność dla pracowników, administratorów, partnerów lub usług stron trzecich. Przerwanie tej bramy może zatem zakłócić działalność biznesową, nawet bez kompromitacji danych.

Cisco potwierdziło, że ataki wykorzystujące tę podatność miały miejsce w październiku 2026 roku, ale nie zidentyfikowało odpowiedzialnych aktorów zagrożeń ani nie ujawniło informacji o ofiarach. CybersecurityNews również nie zgłasza potwierdzonego związku z kradzieżą danych ani zdalnym wykonywaniem kodu.

Problem ten należy również odróżnić od innych niedawno ujawnionych podatności zapór Cisco. Jest on niezależny od wcześniej zgłaszanych luk dotyczących infrastruktury Cisco ASA i VPN, mając inne przyczyny techniczne i ścieżki wykorzystania.

W czasie pisania, ani poradnik Cisco, ani dostarczane raportowanie nie zawierają publicznego CVE-2026-76418 z PoC z zawierającym odtwarzalny kod eksploatujący. Brak publicznego dowodu koncepcji nie zmniejsza pilności naprawy, ponieważ Cisco już potwierdziło wykorzystywanie w świecie rzeczywistym.

Cisco również nie opublikowało IOCs kampanii dedykowanych dla CVE-2026-76418, takich jak adresy IP atakujących, domeny, hashe ładunków lub nazwana infrastruktura zagrożeń.

Oznacza to, że obrońcy powinni priorytetowo traktować polowanie oparte na zachowaniu i konfiguracji, zamiast polegać wyłącznie na statycznych wskaźnikach.

Potencjalne punkty dochodzenia to:

• Niespodziewane ponowne załadowania ASA lub FTD bez administracyjnego lub konserwacyjnego wyjaśnienia
• Powtarzające się połączenia z publiczną usługą SSL VPN tuż przed ponownym załadowaniem
• Zgromadzenia nieprawidłowych żądań zdalnego dostępu do VPN z zewnętrznej infrastruktury
• Powtarzające się zakłócenia dostępności wpływające na bramę VPN
• Nieoczekiwany reset czasu działania zapory
• Nietypowa aktywność uwierzytelniania wokół ponownych uruchomień urządzenia
• Powtarzające się połączenia z tych samych lub powiązanych zakresów IP przed przerwaniem usługi
• Wiele niewyjaśnionych ponownych załadunków urządzenia w krótkim czasie

Zespoły powinny również powiązać zdarzenia zapory z telemetrią sieciową kierunkową. Load balancerzy, routery brzegowe, systemy ochrony DDoS, platformy IDS/IPS lub zewnętrzne narzędzia monitorujące mogą zachować dowody na połączenia, które miały miejsce tuż przed tym, jak zapora stała się niedostępna.

Zachowanie tej telemetrii jest szczególnie ważne, gdy sama zapora jest wielokrotnie ponownie uruchamiana, ponieważ niektóre nietrwałe informacje diagnostyczne mogą zostać utracone.

Organizacje powinny dodatkowo ustalić, czy atakujący próbowali innych działań przed lub po eksploracji. Cisco aktualnie określa podatność jako lukę odmowy usługi, dlatego obrońcy powinni unikać automatycznego interpretowania awarii urządzenia jako dowodu na pełne skompromitowanie zapory.

Jednak niespodziewany restart zabezpieczającego urządzenia skierowanego na internet nadal wymaga dochodzenia, szczególnie gdy potwierdzono eksploatację w świecie rzeczywistym.

Mitigacja CVE-2026-76418

Cisco wydało poprawione oprogramowanie ASA i FTD oraz zdecydowanie zaleca aktualizację, ponieważ żadna pełna obejście nie rozwiązuje podstawowej podatności.

Pierwsze naprawione wydania Cisco Secure Firewall ASA to:

Gałąź wydania ASA	Pierwsze wydanie naprawione
9.16 i wcześniejsze	9.16.4.104
9.18	9.18.4.96
9.20	9.20.4.50
9.22	9.22.3.200
9.23	9.23.1.48
9.24	9.24.1.27 / 9.24.10.1

Dla Secure FTD Cisco wymienia:

Gałąź wydania FTD	Pierwsze wydanie naprawione
7.0 i wcześniejsze	7.0.11
7.2	7.2.13
7.4	7.4.9
7.6	7.6.7
7.7	7.7.14
10.0	10.0.3
10.1	10.1.1

Organizacje powinny korzystać z oprogramowania Cisco Checker i dokumentacji kompatybilności, aby określić poprawne naprawione wydanie dla swojego konkretnego sprzętu i obecnie zainstalowanej gałęzi oprogramowania.

Chociaż Cisco nie wymienia obejścia, które w pełni rozwiązuje podatność, dokumentuje tymczasowe środki konfiguracji dotyczące dodatkowego uwierzytelniania.

Rekomendowane Mitigacja CVE-2026-76418 zależy od konfiguracji grup tunelowych.

Jeśli DefaultWEBVPNGroup nie używa dodatkowego uwierzytelniania, administratorzy mogą wyłączyć listę grup tunelowych, korzystając z:

no tunnel-group-list enable

To uniemożliwia użytkownikom wybór profilu połączenia z listy i zamiast tego wymaga od nich znajomości właściwego profilu.

Jeśli DefaultWEBVPNGroup używa dodatkowego uwierzytelniania, administratorzy mogą go usunąć za pomocą:

no secondary-authentication-server-group

Jednak Cisco ostrzega, że usunięcie dodatkowego uwierzytelniania obniża poziom bezpieczeństwa uwierzytelniania w zdalnym dostępie do VPN. Organizacje powinny zatem starannie ocenić tę tymczasową miarę przed jej wdrożeniem.

Te zmiany powinny być traktowane jako tymczasowe środki redukcji ryzyka, a nie zamienniki dla naprawienia.

Ponieważ eksploracja już zachodzi, organizacje powinny priorytetyzować systemy, które są:

• Skierowane na internet
• Uruchamianie podatnych wersji ASA lub FTD
• Zapewnianie łączności SSL remote-access VPN
• Używanie dodatkowego uwierzytelniania
• Wsparcie krytycznego zdalnego łącza roboczego lub administracyjnego

Zespoły bezpieczeństwa powinny również weryfikować, czy architektura o wysokiej dostępności lub failover mogłaby zmniejszyć zakłócenia operacyjne podczas wykonywania aktualizacji.

Po zastosowaniu aktualizacji potwierdź wersję uruchomionego oprogramowania i sprawdź, czy urządzenie pomyślnie wróciło do usługi.

Administratorzy powinni przeglądać dzienniki systemowe obejmujące okres przed zastosowaniem poprawki w poszukiwaniu niewyjaśnionych ponownych załadowań lub innych oznak eksploracji.

Jeśli zidentyfikowano podejrzaną aktywność, zachowaj odpowiednie:

• Dzienniki systemowe ASA lub FTD
• Dzienniki zdalnego dostępu VPN
• Telemetria uwierzytelniania
• Historia konfiguracji zapory
• Dane przepływu sieci skierowanej
• Zewnętrzne dane monitorujące
• Dzienniki dostawcy tożsamości związane z dodatkowym uwierzytelnianiem

Ponieważ Cisco ujawniło jedynie wpływ na dostępność, respondenci powinni rozróżniać potwierdzone dowody od spekulacji. Niespodziewany restart zapory nie ustanawia samo w sobie, że przeciwnik uzyskał pliki konfiguracyjne, poświadczenia czy możliwość wykonania kodu.

Niemniej jednak organizacje doświadczające niewyjaśnionych ponownych załadowań urządzeń powinny przeglądać sąsiednie systemy i aktywność uwierzytelniania, aby upewnić się, że przeciwnicy nie próbowali jednocześnie innych technik.

Administratorzy powinni również unikać opóźniania aktualizacji wyłącznie z powodu braku dostępnego publicznego kodu eksploatacyjnego. Aktywne wykorzystywanie występowało przed ujawnieniem publicznym, co pokazuje, że przynajmniej jeden atakujący już posiadał zdolność do wywołania podatności.

Zrzeczenie się: Zawartość wykrycia może nie być dostępna dla każdego CVE. Sprawdź platformę SOC Prime dla bieżącej ochrony. Jeśli odpowiednie wykrycia nie są jeszcze dostępne, sprawdź ponownie, ponieważ nowe informacje o zagrożeniach i zawartość wykrywania są ciągle dodawane.