# Cisco załatała aktywnie wykorzystywaną podatność, która zawiesza zapory ASA i FTD z SSL VPN Cisco wydała poprawki do CVE-2026-76418 w ASA i FTD. Zdalny atakujący bez uwierzytelnienia może wywołać restart zapory z SSL VPN, a podatność jest wykorzystywana w atakach. - Adres: - Rodzaj: Streszczenie - Data publikacji: 29.10.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [BleepingComputer](https://www.bleepingcomputer.com/news/security/cisco-warns-of-firewall-zero-day-exploited-to-crash-ssl-vpn-devices/) (29 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Cisco opublikowała poprawki do podatności CVE-2026-76418 w oprogramowaniu Secure Firewall Adaptive Security Appliance (ASA) i Secure Firewall Threat Defense (FTD). Podatność ma wysoką ważność (8,6 w skali CVSS) i pozwala zdalnemu atakującemu bez uwierzytelnienia spowodować nieoczekiwany restart urządzenia, czyli odmowę usługi (DoS). Cisco dowiedziała się w październiku 2026 r., że jest wykorzystywana w atakach. Nie podała wskaźników naruszenia bezpieczeństwa ani informacji, kto atakuje i kogo. Zagrożone jest urządzenie, na którym działa podatne wydanie oprogramowania, dostępna jest usługa logowania do SSL VPN i skonfigurowano uwierzytelnianie wtórne w grupie tuneli. Konfiguracja jest podatna, gdy zawiera słowo `webvpn`, a SSL VPN jest włączony na co najmniej jednym interfejsie. Udane zalogowanie do VPN nie jest potrzebne. Podatność nie dotyczy usług chmurowych Cisco, Secure Access ani Secure FMC. Jeśli używasz tych zapór, sprawdź wersję i konfigurację, a potem **zainstaluj wydanie z poprawką**. Dla ASA są to 9.16.4.104 (dla 9.16 i starszych), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 oraz 9.24.1.27 lub 9.24.10.1. Dla FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 i 10.1.1. Obejścia nie ma, jest tylko łagodzenie: wyłączenie uwierzytelniania wtórnego w grupie `DefaultWEBVPNGroup` lub w grupach skonfigurowanych przez administratora. Gdy domyślna grupa go nie używa, wyłącza się listę grup poleceniem `no tunnel-group-list enable`. Gdy używa, służy do tego `no secondary-authentication-server-group`, co obniża poziom bezpieczeństwa zdalnego dostępu. Cisco zaleca aktualizację, nie łagodzenie. BleepingComputer podaje, że Shadowserver śledzi ponad 51 tys. urządzeń Cisco ASA z SSL VPN dostępnych z internetu, bez informacji, ile już załatano. To druga w ostatnich miesiącach podatność typu odmowa usługi w ASA i FTD wykorzystana jako zero-day: w sierpniu Cisco poprawiła CVE-2026-20349. SecurityWeek pisze, że nie wiadomo, czy za obiema stoi ten sam atakujący. ## Źródła - [BleepingComputer: New Cisco firewall zero-day exploited to crash SSL VPN devices](https://www.bleepingcomputer.com/news/security/cisco-warns-of-firewall-zero-day-exploited-to-crash-ssl-vpn-devices/) - [Cisco PSIRT: Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75) - [The Hacker News: Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls](https://thehackernews.com/2026/10/cisco-patches-actively-exploited-asa.html) - [SecurityWeek: Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August](https://www.securityweek.com/attackers-exploit-second-cisco-firewall-vpn-zero-day-since-august/) ## Pojęcia w tym tekście - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [Odmowa usługi](https://pelnomocnikcyber.pl/slownik/odmowa-uslugi/): Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory. - [Wirtualna sieć prywatna](https://pelnomocnikcyber.pl/slownik/vpn/): Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. - [Zdalny dostęp](https://pelnomocnikcyber.pl/slownik/zdalny-dostep/): Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. - [Zero-day](https://pelnomocnikcyber.pl/slownik/zero-day/): Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 29 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.