Cisco heeft updates uitgebracht voor een actief misbruikte kwetsbaarheid in Secure Firewall ASA en Secure Firewall Threat Defense (FTD) waarmee aanvallers firewalls op afstand kunnen laten crashen. Het gaat om CVE-2026-76418, met een CVSS-score van 8,6. Dit is een ander lek dan het eerder gemelde authenticatieprobleem in Cisco Secure Firewall ASA/FTD/FMC (CVE-2026-20329 tot en met CVE-2026-20336): deze keer draait het om een losstaande denial-of-service-fout in dezelfde productfamilie.
De oorzaak ligt volgens Cisco in logicafouten wanneer secundaire authenticatie is ingesteld op een tunnelgroep. Een ongeauthenticeerde aanvaller kan een geprepareerd verzoek sturen tijdens het opzetten van een SSL remote-access VPN-verbinding, waarna het apparaat onverwacht herstart. Een geslaagde VPN-login is daarvoor niet nodig: het is genoeg dat het kwetsbare verwerkingspad bereikbaar is. Dat is het geval zodra een kwetsbare softwareversie draait, de SSL VPN-loginservice bereikbaar is en secundaire authenticatie is geconfigureerd binnen een tunnelgroep.
Cisco zegt in oktober op de hoogte te zijn geraakt van actief misbruik, maar heeft geen details gedeeld over de omvang van de aanvallen, de aanvallers zelf of indicatoren van compromittering.
Voor ASA zijn onder meer de volgende versies gefixt: 9.16 in 9.16.4.104, 9.18 in 9.18.4.96, 9.20 in 9.20.4.50, 9.22 in 9.22.3.200, 9.23 in 9.23.1.48 en 9.24 in 9.24.1.27 of 9.24.10.1. Voor FTD gaat het onder meer om 7.0 in 7.0.11, 7.2 in 7.2.13, 7.4 in 7.4.9, 7.6 in 7.6.7, 7.7 in 7.7.14, 10.0 in 10.0.3 en 10.1 in 10.1.1.
Wie niet direct kan patchen, kan als tijdelijke maatregel secundaire authenticatie uitschakelen op de DefaultWEBVPNGroup-tunnelgroep of op elke zelf ingestelde tunnelgroep. Cisco waarschuwt dat het enkel uitschakelen van de groepslijst niet voldoende is als de standaardgroep zelf secundaire authenticatie gebruikt. Controleer daarom de instelling secondary-authentication-server-group op alle tunnelgroepen, inclusief de standaardgroep. Op FTD kan dat via het beleid voor remote-access VPN in FMC of FDM.
Beveiligingsonderzoeker Shadowserver telde eerder al meer dan 51.000 internetbereikbare Cisco ASA SSL VPN-apparaten, zonder dat bekend is hoeveel daarvan al gepatcht zijn. Voor elke organisatie met een Cisco ASA of FTD als VPN-voorziening is dit een reden om niet te wachten op het volgende onderhoudsvenster: controleer de tunnelgroep-configuratie en installeer de update zodra mogelijk.
Update 30 oktober: het NCSC heeft inmiddels een eigen advisory gepubliceerd over deze kwetsbaarheid (NCSC-2026-0463), met dezelfde CVE-2026-76418 en CVSS-score van 8,6. Het NCSC classificeert de fout als een NULL pointer dereference en bevestigt dat Cisco actief misbruik ziet. De advisory verwijst voor technische details naar de onderliggende Cisco-advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 en benadrukt dezelfde voorwaarde: de SSL VPN-dienst moet bereikbaar zijn en er moet secundaire authenticatie zijn ingesteld op een tunnelgroep, zonder dat een geslaagde VPN-login nodig is.
Bron: The Hacker News en BleepingComputer
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.