Cisco ASA und FTD: Aktiv ausgenutzte SSL-VPN-Denial-of-Service-Schwachstelle (CVE-2026-76418)

Was passiert ist

Die Software von Cisco Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) umfasst einen SSL-VPN-Dienst für den Remote-Zugriff. Ein Logikfehler bei der Verarbeitung der sekundären Authentifizierung einer Tunnelgruppe ermöglicht es einem nicht authentifizierten entfernten Angreifer, beim Verbindungsaufbau zum SSL-VPN eine speziell gestaltete Anfrage zu senden. Eine erfolgreiche Ausnutzung führt dazu, dass das betroffene Gerät unerwartet neu startet, was einen Denial-of-Service zur Folge hat.

Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk erreichbar, erfordert eine geringe Angriffskomplexität sowie keine Berechtigungen und keine Benutzerinteraktion und wirkt sich stark auf die Verfügbarkeit aus, nicht aber auf Vertraulichkeit oder Integrität. Cisco PSIRT gibt an, im Oktober 2026 Kenntnis von der aktiven Ausnutzung dieser Schwachstelle erlangt zu haben, und empfiehlt dringend ein Upgrade auf eine korrigierte Softwareversion.

Wer betroffen ist

Betroffen sind Cisco Secure Firewall ASA Software 9.16.1, 9.16.1.28, 9.16.2, 9.16.2.3, 9.16.2.7, 9.16.2.11, 9.16.2.13 und 9.16.2.14 sowie Cisco Secure Firewall FTD Software 7.0.0, 7.0.0.1, 7.0.1, 7.0.1.1, 7.0.2, 7.2.0, 7.0.2.1 und 7.0.3. Bei diesen Produkten handelt es sich um Firewall-Plattformen, die SSL-VPN-Verbindungen für den Remote-Zugriff terminieren können. Die Schwachstelle betrifft ausschließlich Umgebungen, in denen SSL-VPN für den Remote-Zugriff aktiviert und auf einer Tunnelgruppe eine sekundäre Authentifizierung konfiguriert ist.

Was jetzt zu tun ist

1. Spielen Sie so bald wie möglich die im Sicherheitshinweis von Cisco genannte korrigierte Softwareversion ein. Cisco gibt an, im Oktober 2026 Kenntnis von der aktiven Ausnutzung erlangt zu haben, und empfiehlt das Upgrade dringend.
2. Wenn Sie nicht sofort ein Upgrade durchführen können, wenden Sie die von Cisco beschriebene Schutzmaßnahme an. Cisco weist darauf hin, dass es keine Problemumgehungen gibt, mit denen sich die Schwachstelle beheben lässt.
3. Stellen Sie fest, ob die Standard-Tunnelgruppe DefaultWEBVPNGroup eine sekundäre Authentifizierung verwendet.
4. Falls nicht, deaktivieren Sie die Tunnelgruppenliste im WebVPN-Konfigurationsmodus mit dem Befehl no tunnel-group-list enable. Benutzerinnen und Benutzer können dann kein Verbindungsprofil mehr aus einer Liste auswählen und müssen den korrekten Profilnamen kennen.
5. Falls sie eine sekundäre Authentifizierung verwendet, entfernen Sie diese mit dem Befehl no secondary-authentication-server-group aus der Gruppe. Laut Cisco verringert dies das Sicherheitsniveau des SSL-VPN für den Remote-Zugriff.
6. Testen Sie die gewählte Schutzmaßnahme in Ihrer Umgebung. Cisco gibt an, dass sie in einer Testumgebung eingesetzt und dort erfolgreich erprobt wurde; Kunden sollten jedoch selbst beurteilen, ob sie anwendbar und wirksam ist.

Wie man es erkennt

Cisco hat für diese CVE keine spezifischen Indikatoren für eine Kompromittierung veröffentlicht. Überwachen Sie ASA- und FTD-Geräte, die SSL-VPN für den Remote-Zugriff terminieren, auf unerwartete oder ungeplante Neustarts, insbesondere wenn auf einer Tunnelgruppe eine sekundäre Authentifizierung konfiguriert ist. Ein ungeplanter Neustart während VPN-Verbindungsversuchen ist das hauptsächliche sichtbare Symptom, das Cisco beschreibt.

Über den Patch hinaus

Da Cisco angibt, dass diese Schwachstelle bereits ausgenutzt wird, haben Erkennung und Reaktion Vorrang, während Sie die Sicherheitsupdates einspielen. Mit Managed Detection and Response (MDR) lassen sich unerwartete Neustarts und weitere Aktivitäten des Angreifers auf betroffenen, aus dem Internet erreichbaren Sicherheits-Appliances überwachen. Da die Schwachstelle ohne Berechtigungen und ohne Benutzerinteraktion über das Netzwerk erreichbar ist, gehört sie auch in die Prüfung Ihrer exponierten Systeme: Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, zu klären, welche SSL-VPN-Endpunkte in den Prüfumfang fallen, ob die Schutzmaßnahme angewendet wurde und ob die korrigierte Version eingeplant ist.