Cisco załatała aktywnie wykorzystywaną podatność, która zawiesza zapory ASA i FTD z SSL VPN
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- BleepingComputer ()
Cisco wydała poprawki do CVE-2026-76418 w ASA i FTD. Zdalny atakujący bez uwierzytelnienia może wywołać restart zapory z SSL VPN, a podatność jest wykorzystywana w atakach.
Cisco opublikowała poprawki do podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-76418 w oprogramowaniu Secure Firewall Adaptive Security Appliance (ASA) i Secure Firewall Threat Defense (FTD). Podatność ma wysoką ważność (8,6 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.) i pozwala zdalnemu atakującemu bez uwierzytelnienia spowodować nieoczekiwany restart urządzenia, czyli odmowę usługiOdmowa usługi Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory. (DoS). Cisco dowiedziała się w październiku 2026 r., że jest wykorzystywana w atakach. Nie podała wskaźników naruszenia bezpieczeństwa ani informacji, kto atakuje i kogo.
Zagrożone jest urządzenie, na którym działa podatne wydanie oprogramowania, dostępna jest usługa logowania do SSL VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. i skonfigurowano uwierzytelnianie wtórne w grupie tuneli. Konfiguracja jest podatna, gdy zawiera słowo webvpn, a SSL VPN jest włączony na co najmniej jednym interfejsie. Udane zalogowanie do VPN nie jest potrzebne. Podatność nie dotyczy usług chmurowych Cisco, Secure Access ani Secure FMC.
Jeśli używasz tych zapór, sprawdź wersję i konfigurację, a potem zainstaluj wydanie z poprawką. Dla ASA są to 9.16.4.104 (dla 9.16 i starszych), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 oraz 9.24.1.27 lub 9.24.10.1. Dla FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 i 10.1.1.
Obejścia nie ma, jest tylko łagodzenie: wyłączenie uwierzytelniania wtórnego w grupie DefaultWEBVPNGroup lub w grupach skonfigurowanych przez administratora. Gdy domyślna grupa go nie używa, wyłącza się listę grup poleceniem no tunnel-group-list enable. Gdy używa, służy do tego no secondary-authentication-server-group, co obniża poziom bezpieczeństwa zdalnego dostępuZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.. Cisco zaleca aktualizację, nie łagodzenie.
BleepingComputer podaje, że Shadowserver śledzi ponad 51 tys. urządzeń Cisco ASA z SSL VPN dostępnych z internetu, bez informacji, ile już załatano. To druga w ostatnich miesiącach podatność typu odmowa usługi w ASA i FTD wykorzystana jako zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.: w sierpniu Cisco poprawiła CVE-2026-20349. SecurityWeek pisze, że nie wiadomo, czy za obiema stoi ten sam atakujący.
Źródła
- BleepingComputer: New Cisco firewall zero-day exploited to crash SSL VPN devices
- Cisco PSIRT: Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability
- The Hacker News: Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls
- SecurityWeek: Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August
Pojęcia w tym tekście (6)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- Odmowa usługi
- Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory.
- Wirtualna sieć prywatna
- Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.
- Zdalny dostęp
- Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.
- Zero-day
- Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.