Seguir A Cisco lançou atualizações de segurança para CVE-2026-76418, uma vulnerabilidade de dia zero de alta gravidade que afeta o serviço Remote Access SSL VPN no Cisco Secure Firewall Adaptive Security Appliance (ASA) e no software Secure Firewall Threat Defense (FTD). A falha está sendo ativamente explorada em campo e pode permitir que um invasor remoto não autenticado force um firewall vulnerável a reiniciar, causando uma condição de negação de serviço (DoS) e interrompendo o acesso remoto.
A Cisco atribuiu à vulnerabilidade um escore CVSS 3.1 de 8.6. A falha não requer autenticação ou interação do usuário e tem baixa complexidade de ataque. Sua principal consequencia de segurança é a perda de disponibilidade, em vez de compromisso de confidencialidade ou integridade. A Cisco não associou a vulnerabilidade à execução remota de código ou confirmou roubo de dados.
A vulnerabilidade é particularmente importante porque os dispositivos de segurança de borda e gateways VPN são frequentemente diretamente expostos à internet e fornecem acesso crítico a ambientes corporativos. Explorações repetidas podem forçar os dispositivos afetados a reiniciar e interromper a conectividade da VPN para funcionários remotos e administradores.
A Cisco divulgou a vulnerabilidade em 28 de outubro de 2026, após sua Equipe de Resposta a Incidentes de Segurança de Produtos (PSIRT) tomar conhecimento da exploração ativa durante o mês de outubro. O problema foi originalmente identificado por Eric Fernald enquanto resolvia um caso de suporte do Centro de Assistência Técnica da Cisco.
Para a detecção do CVE-2026-76418, as equipes de segurança devem priorizar o monitoramento de dispositivos ASA e FTD da Cisco voltados para a internet em busca de reinicializações inesperadas, tentativas repetidas de conexão SSL VPN, atividades anormais de autenticação e interrupções de disponibilidade que afetam os serviços de acesso remoto.
A Plataforma de Inteligência em Detecção Nativa de IA da SOC Prime permite que as equipes de segurança aprimorem a visibilidade da exploração de vulnerabilidades e comportamentos suspeitos em telemetria SIEM, EDR, firewall, rede e identidade.
Clique Explorar Detecções para acessar conteúdo de detecção relevante e lógica de busca de ameaças. Para detectar o CVE-2026-76418, os defensores devem combinar avaliação de configuração de firewall com telemetria da VPN, eventos de reinicialização de dispositivos, atividade de rede e logs de autenticação para identificar tentativas de exploração e confirmar exposição.
Análise do CVE-2026-76418
A vulnerabilidade existe na funcionalidade Remote Access SSL VPN do Cisco Secure Firewall ASA e do software Secure FTD.
Segundo a Cisco, a causa raiz envolve erros de lógica que ocorrem quando a autenticação secundária é configurada em um grupo de tuneis. Um invasor não autenticado pode enviar uma solicitação especialmente criada ao conectar-se ao serviço SSL VPN de acesso remoto e disparar uma reinicialização inesperada do dispositivo.
Importante, uma autenticação de VPN bem-sucedida não é necessária para alcançar o caminho de processamento vulnerável. Isso aumenta significativamente a superfície de ataque potencial porque um invasor só precisa de acesso à rede ao serviço SSL VPN exposto, em vez de credenciais VPN válidas.
Os detalhes para o CVE-2026-76418 indicam que três condições principais devem estar presentes para que um dispositivo esteja exposto:
- O firewall deve executar uma versão vulnerável do Cisco Secure Firewall ASA ou FTD.
- O serviço de login SSL Remote Access VPN deve ser acessível.
- A autenticação secundária deve estar configurada dentro de um grupo de tuneis afetado.
A Cisco recomenda que os administradores determinem primeiro se a funcionalidade SSL VPN está ativada. Em sistemas ASA, configurações contendo webvpn com SSL VPN ativado em uma interface requerem revisão adicional. Os administradores do FTD devem inspecionar a configuração da VPN de acesso remoto implementada através do Secure Firewall Management Center ou do Device Manager.
Os administradores devem então inspecionar grupos de tuneis para:
secondary-authentication-server-group
Quando o enable do tunnel-group-list está configurado, cada grupo de tuneis deve ser examinado, incluindo DefaultWEBVPNGroup. A Cisco adverte especificamente que verificar apenas os perfis de conexão exibidos na página de login da VPN é insuficiente.
Remover ou desativar a lista de grupos de tuneis não elimina automaticamente a exposição. Se o DefaultWEBVPNGroup ainda usa autenticação secundária, o caminho vulnerável permanece acessível.
O CVE-2026-76418 afeta implantações do Cisco Secure Firewall ASA e Secure FTD que satisfazem essas condições de configuração e executam versões de software vulneráveis.
A Cisco confirmou que os seguintes produtos não são afetados:
- Firewall Cloud-delivered
- Cloud-delivered Firewall Management Center
- Cisco Secure Access
- Secure Firewall Management Center Software
A falha é categorizada como CWE-690, que está relacionada a um valor de retorno não verificado levando a uma desreferência de ponteiro NULL. O vetor CVSS da Cisco reflete acessibilidade de rede, baixa complexidade de ataque, nenhum privilégio necessário, nenhuma interação do usuário e alto impacto de disponibilidade.
Um ataque bem-sucedido não fornece ao adversário acesso administrativo ao firewall baseado nas informações divulgadas atualmente. Em vez disso, o dispositivo recarrega inesperadamente, interrompendo sua disponibilidade.
Dependendo da arquitetura de rede, explorações repetidas podem ter consequências operacionais mais amplas. Um firewall afetado pode fornecer conectividade remota para funcionários, administradores, parceiros ou serviços de terceiros. Interromper esse gateway pode, portanto, interferir nas operações de negócios mesmo sem comprometer os dados.
A Cisco confirmou que os ataques explorando a vulnerabilidade ocorreram durante outubro de 2026, mas não identificou os atores de ameaça responsáveis ou divulgou informações das vítimas. A CybersecurityNews também não relata conexão confirmada com roubo de dados ou execução remota de código.
O problema também deve ser diferenciado de outras vulnerabilidades recentemente divulgadas dos firewalls da Cisco. É separado de falhas anteriormente relatadas que afetam a infraestrutura ASA e VPN da Cisco, com causas técnicas e caminhos de exploração diferentes.
No momento da escrita, nem o comunicado da Cisco nem o relatório fornecido apresentam um PoC público para o CVE-2026-76418 contendo código de exploração reproduzível. A ausência de uma prova de conceito pública não reduz a urgência de remediação, pois a Cisco já confirmou a exploração em campo.
A Cisco também não publicou IOCs específicos da campanha para o CVE-2026-76418, como endereços IP de atacantes, domínios, hashes de payload ou infraestrutura de ameaça nomeada.
Isso significa que os defensores devem priorizar a busca comportamental e baseada em configuração em vez de confiar exclusivamente em indicadores estáticos.
Pontos potenciais de investigação incluem:
- Reinicializações inesperadas do ASA ou FTD sem uma explicação administrativa ou de manutenção
- Conexões repetidas ao serviço público SSL VPN imediatamente antes de uma reinicialização
- Conjuntos de pedidos de VPN de acesso remoto anormais vindos de infraestrutura externa
- Interrupções repetidas de disponibilidade afetando o gateway VPN
- Tempo de atividade do firewall reiniciando inesperadamente
- Atividade de autenticação incomum em torno de reinícios de dispositivos
- Conexões repetidas das mesmas ou relacionadas faixas de IP antes da interrupção do serviço
- Múltiplas reinicializações inexplicáveis de dispositivos em um curto período
As equipes devem também correlacionar eventos de firewall com telemetria de rede upstream. Balanceadores de carga, roteadores de borda, sistemas de proteção contra DDoS, plataformas IDS/IPS ou ferramentas de monitoramento externo podem reter evidências de conexões que ocorreram imediatamente antes do firewall se tornar indisponível.
Preservar essa telemetria é especialmente importante quando o próprio firewall está sendo reiniciado repetidamente, pois algumas informações diagnósticas voláteis podem ser perdidas.
As organizações devem ainda determinar se os atacantes tentaram outras atividades antes ou depois da exploração. Atualmente, a Cisco caracteriza a vulnerabilidade como uma falha de negação de serviço, então os defensores devem evitar interpretar automaticamente uma falha de dispositivo como evidência de comprometimento total do firewall.
No entanto, uma reinicialização inexplicável de um dispositivo de segurança voltado para a internet ainda merece investigação, particularmente quando a exploração foi confirmada em campo.
Mitigação do CVE-2026-76418
A Cisco lançou software corrigido para ASA e FTD e recomenda fortemente a atualização, pois nenhuma solução alternativa completa aborda a vulnerabilidade subjacente.
Os primeiros lançamentos corrigidos do Cisco Secure Firewall ASA são:
| Ramos de lançamento ASA | Primeiro lançamento corrigido |
| 9.16 e anteriores | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Para FTD seguro, a Cisco lista:
| Ramos de lançamento FTD | Primeiro lançamento corrigido |
| 7.0 e anteriores | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
As organizações devem usar o Software Checker da Cisco e a documentação de compatibilidade para determinar a versão corrigida correta para seu hardware específico e o ramo de software atualmente instalado.
Embora a Cisco não liste nenhuma solução alternativa que resolva completamente a vulnerabilidade, ela documenta mitigações temporárias de configuração envolvendo autenticação secundária.
A mitigação do CVE-2026-76418 recomendada depende de como os grupos de tuneis estão configurados.
Se o DefaultWEBVPNGroup não utiliza autenticação secundária, os administradores podem desativar a lista de grupos de tuneis usando:
no tunnel-group-list enable
Isso impede que os usuários selecionem um perfil de conexão de uma lista e, em vez disso, exige que eles saibam o perfil correto.
Se o DefaultWEBVPNGroup usa autenticação secundária, os administradores podem removê-la usando:
no secondary-authentication-server-group
No entanto, a Cisco alerta que a remoção da autenticação secundária reduz a postura de segurança da autenticação VPN de acesso remoto. As organizações devem, portanto, avaliar cuidadosamente essa medida temporária antes de implantá-la.
Essas alterações devem ser consideradas medidas temporárias de redução de risco, em vez de substituições para a correção.
Porque a exploração já está ocorrendo, as organizações devem priorizar sistemas que estão:
- Voltados para a internet
- Executando versões vulneráveis de ASA ou FTD
- Fornecendo conectividade VPN de acesso remoto SSL
- Usando autenticação secundária
- Suportando conectividade crítica de força de trabalho remota ou administrativa
As equipes de segurança também devem verificar se a arquitetura de alta disponibilidade ou failover pode reduzir a interrupção operacional enquanto as atualizações são realizadas.
Após aplicar as atualizações, confirme a versão do software em execução e verifique se o dispositivo voltou ao serviço com sucesso.
Os administradores devem revisar os logs do sistema abrangendo o período anterior à correção para reinicializações inexplicadas ou outras indicações de exploração.
Se alguma atividade suspeita for identificada, preserve o seguinte:
- Logs do sistema ASA ou FTD
- Logs da VPN de acesso remoto
- Telemetria de autenticação
- Histórico de configuração do firewall
- Dados de fluxo de rede em nível superior
- Dados de monitoramento externo
- Logs do provedor de identidade associados à autenticação secundária
Como a Cisco divulgou apenas um impacto na disponibilidade, os respondedores devem distinguir evidências confirmadas de especulação. Uma reinicialização inesperada do firewall por si só não estabelece que um invasor obteve arquivos de configuração, credenciais ou execução de código.
No entanto, organizações que estão passando por reinicializações inesperadas de dispositivos devem revisar sistemas adjacentes e a atividade de autenticação para garantir que os atacantes não estavam simultaneamente tentando outras técnicas.
Os administradores também devem evitar adiar atualizações apenas porque nenhum código de exploração pública está disponível. A exploração ativa ocorreu antes da divulgação pública, demonstrando que pelo menos um atacante já possuía a capacidade de acionar o comportamento vulnerável.
Aviso: O conteúdo de detecção pode não estar disponível para todos os CVEs. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente à medida que novas informações de ameaças e conteúdo de detecção são continuamente adicionados.
FAQ
O que é o CVE-2026-76418 e como ele funciona?
O CVE-2026-76418 é uma vulnerabilidade de negação de serviço de alta gravidade na funcionalidade Remote Access SSL VPN do Cisco Secure Firewall ASA e do software Secure FTD. A vulnerabilidade resulta de erros de lógica acionados quando a autenticação secundária é configurada em um grupo de tuneis afetado. Um invasor remoto não autenticado pode enviar uma solicitação criada à serviço da SSL VPN e causar uma reinicialização inesperada do firewall. Um login de VPN bem-sucedido não é necessário para atingir o caminho de processamento vulnerável.
Quando o CVE-2026-76418 foi descoberto pela primeira vez?
A Cisco divulgou publicamente a vulnerabilidade em 28 de outubro de 2026. O problema foi identificado por Eric Fernald durante a resolução de um caso de suporte do Centro de Assistência Técnica da Cisco. A Cisco PSIRT tomou conhecimento em outubro de 2026 de que os atacantes já estavam explorando a vulnerabilidade em ambientes reais.
Qual é o impacto do CVE-2026-76418 nos sistemas?
A exploração bem-sucedida pode forçar um dispositivo Cisco ASA ou FTD afetado a reiniciar, causando uma condição de negação de serviço e interrompendo a disponibilidade do firewall ou da VPN de acesso remoto. A Cisco atribui à vulnerabilidade um escore CVSS de 8.6 com alto impacto de disponibilidade, mas sem impacto de confidencialidade ou integridade atualmente documentado. O fornecedor não relatou execução remota de código ou confirmado roubo de dados resultante da falha.
O CVE-2026-76418 ainda pode me afetar em 2026?
Sim. A vulnerabilidade está sendo ativamente explorada e permanece um risco para as organizações que executam versões vulneráveis do Cisco ASA ou FTD onde o serviço SSL de VPN de acesso remoto é acessível e a autenticação secundária é configurada em um grupo de tuneis afetado. Sistemas atualizados para as versões corrigidas do software da Cisco estão protegidos contra a vulnerabilidade descrita no comunicado.
Como posso me proteger do CVE-2026-76418?
Atualize o Cisco Secure Firewall ASA ou o software FTD para a versão corrigida apropriada listada no comunicado de segurança da Cisco. Os administradores também devem verificar se a VPN de acesso remoto SSL está habilitada, inspecionar todos os grupos de tuneis relevantes para autenticação secundária, e revisar a configuração do DefaultWEBVPNGroup. Onde o patch imediato não é possível, a Cisco fornece opções temporárias de mitigação envolvendo a desativação da lista de grupos de tuneis ou a remoção da autenticação secundária. Porque essas mudanças podem afetar a funcionalidade ou reduzir a segurança da autenticação, elas devem ser cuidadosamente avaliadas e usadas apenas até que o dispositivo afetado possa ser atualizado.
