Cisco ASA és FTD SSL VPN: aktívan kihasznált szolgáltatásmegtagadás (CVE-2026-76418)

Mi történt

A Cisco Secure Firewall Adaptive Security Appliance (ASA) és a Secure Firewall Threat Defense (FTD) szoftver egyaránt tartalmaz távoli elérésű SSL VPN-szolgáltatást. A szolgáltatásban logikai hiba van abban, ahogyan egy alagútcsoport másodlagos hitelesítését kezeli. Emiatt hitelesítés nélküli, távoli támadó az SSL VPN-hez csatlakozva speciálisan kialakított kérést küldhet. A sikeres kihasználás hatására az érintett eszköz váratlanul újraindul, ami szolgáltatásmegtagadást okoz.

A CVSS-vektor szerint a hiba hálózaton keresztül érhető el, kihasználásához alacsony támadási bonyolultság szükséges, és sem jogosultságot, sem felhasználói beavatkozást nem igényel. Magas hatással van a rendelkezésre állásra, a bizalmasságra és a sértetlenségre viszont nincs hatással. A Cisco PSIRT közlése szerint 2026 októberében szerzett tudomást a sérülékenység aktív kihasználásáról, és határozottan javasolja a javított szoftverkiadásra történő frissítést.

Kit érint

Az érintett verziók a következők: Cisco Secure Firewall ASA Software 9.16.1, 9.16.1.28, 9.16.2, 9.16.2.3, 9.16.2.7, 9.16.2.11, 9.16.2.13 és 9.16.2.14, valamint Cisco Secure Firewall FTD Software 7.0.0, 7.0.0.1, 7.0.1, 7.0.1.1, 7.0.2, 7.2.0, 7.0.2.1 és 7.0.3. Ezek a termékek olyan tűzfalplatformok, amelyek képesek távoli elérésű SSL VPN-kapcsolatok kiszolgálására. A sérülékenység kifejezetten azokat a telepítéseket érinti, ahol a távoli elérésű SSL VPN engedélyezve van, és egy alagútcsoporthoz másodlagos hitelesítést állítottak be.

Mit kell most tenni

1. Frissítsen a lehető leghamarabb a Cisco biztonsági közleményében megjelölt javított szoftverkiadásra. A Cisco közlése szerint 2026 októberében szerzett tudomást az aktív kihasználásról, és határozottan javasolja a frissítést.
2. Ha nem tud azonnal frissíteni, alkalmazza a Cisco által ismertetett kockázatcsökkentő intézkedést. A Cisco megjegyzi, hogy nincs olyan kerülő megoldás, amely a sérülékenységet orvosolná.
3. Ellenőrizze, hogy az alapértelmezett alagútcsoport (DefaultWEBVPNGroup) használ-e másodlagos hitelesítést.
4. Ha nem használ másodlagos hitelesítést, tiltsa le az alagútcsoportok listáját WebVPN konfigurációs módban a következő paranccsal: no tunnel-group-list enable. A felhasználók ettől kezdve nem tudnak listából kapcsolati profilt választani, és ismerniük kell a megfelelő profil nevét.
5. Ha viszont használ másodlagos hitelesítést, távolítsa el azt az alagútcsoportból a no secondary-authentication-server-group paranccsal. A Cisco szerint ez gyengíti a távoli elérésű VPN biztonsági szintjét.
6. Tesztelje a kiválasztott kockázatcsökkentő intézkedést a saját környezetében. A Cisco szerint az intézkedést tesztkörnyezetben már alkalmazták, és ott sikeresnek bizonyult; az ügyfeleknek azonban maguknak kell megállapítaniuk, hogy az adott környezetben alkalmazható-e és hatékony-e.

Hogyan észlelhető

Ehhez a CVE-hez a Cisco nem tett közzé konkrét, kompromittálódásra utaló mutatókat (IoC). Figyelje a távoli elérésű SSL VPN-kapcsolatokat kiszolgáló ASA és FTD eszközöket, és keresse a váratlan vagy nem tervezett újraindulásokat, különösen ott, ahol egy alagútcsoporthoz másodlagos hitelesítés van beállítva. A Cisco által leírt fő látható tünet a VPN-kapcsolódási kísérletek közben bekövetkező, nem tervezett újraindulás.

A javításon túl

Mivel a Cisco szerint a hibát már aktívan kihasználják, a felderítés és a reagálás az elsődleges mindaddig, amíg a biztonsági javítást el nem végzi. A Menedzselt kiberbiztonsági felügyelet (MDR) képes figyelni a váratlan újraindulásokat és a támadó további tevékenységét az érintett, az internet felől elérhető eszközökön. A hiba a hálózaton keresztül hitelesítő adatok és felhasználói beavatkozás nélkül érhető el, ezért a kitettségi felülvizsgálatban is helyet kell kapnia: a Virtuális CISO szolgáltatás (vCISO) segíthet annak megerősítésében, hogy mely SSL VPN-végpontok tartoznak az érintett körbe, alkalmazták-e a kockázatcsökkentő intézkedést, és be van-e ütemezve a javított kiadásra történő frissítés.