Cisco-VPN-Schwachstelle wird ausgenutzt und kann Neustarts der firewall erzwingen
Eine als CVE-2026-76418 erfasste Cisco-VPN-Schwachstelle wird aktiv ausgenutzt, um anfällige Geräte vom Typ Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) zu einem Neustart zu zwingen. Cisco hat Sicherheitsupdates, die üblicherweise patches genannt werden, für die betroffene Software veröffentlicht. Nach Angaben des Unternehmens kann ein Angreifer das Problem aus der Ferne auslösen, ohne sich zuvor anzumelden. Dadurch entsteht ein denial-of-service (DoS)-Zustand, der das Gerät oder dessen Dienst nicht verfügbar macht.
Die Schwachstelle hat nach dem Common Vulnerability Scoring System (CVSS), einer Standardskala zur Beschreibung des Schweregrads von Sicherheitslücken, einen Schweregradwert von 8,6. Sie betrifft den Dienst für Remote Access Secure Sockets Layer virtual private network (SSL VPN), über den Benutzer aus der Ferne eine Verbindung zum Netzwerk einer Organisation herstellen können. Laut Cisco wird eine fehlerhafte Logik erreicht, wenn secondary authentication, also eine zusätzliche Identitätsprüfung, für eine tunnel group konfiguriert ist. Dabei handelt es sich um ein Profil mit Einstellungen für eine Kategorie von VPN-Verbindungen. Eine speziell präparierte Verbindungsanfrage kann anschließend bewirken, dass das Netzwerksicherheitsgerät unerwartet neu startet. Eine erfolgreiche VPN-Anmeldung ist nicht erforderlich, um den anfälligen Verarbeitungspfad zu erreichen.
Ein Gerät ist nur dann gefährdet, wenn drei Bedingungen erfüllt sind. Darauf muss eine anfällige ASA- oder FTD-Version ausgeführt werden, sein Anmeldedienst für Remote Access über SSL VPN muss erreichbar sein und secondary authentication muss in den Einstellungen der tunnel group konfiguriert sein. Diese Kombination ist für Administratoren bei der Risikobewertung wichtig, da allein die Ausführung einer der aufgeführten Softwareversionen nicht bedeutet, dass jedes Gerät über die anfällige Konfiguration verfügt.
Cisco empfiehlt Administratoren, bei denen tunnel-group-list enable konfiguriert ist, jede tunnel group einschließlich der integrierten DefaultWEBVPNGroup auf secondary-authentication-server-group zu prüfen. Falls tunnel-group-list enable fehlt oder mit dem Befehl no tunnel-group-list enable entfernt wurde, müssen Administratoren DefaultWEBVPNGroup dennoch überprüfen. Das Deaktivieren der Gruppenliste beseitigt die Gefährdung nicht, wenn diese Standardgruppe weiterhin secondary authentication verwendet.
Für ASA Software nennt Cisco folgende korrigierte Versionen: 9.16.4.104 für 9.16 und älter, 9.18.4.96 für 9.18, 9.20.4.50 für 9.20, 9.22.3.200 für 9.22 und 9.23.1.48 für 9.23. Systeme aus dem Versionszweig 9.24 können entweder auf 9.24.1.27 oder auf 9.24.10.1 wechseln. Administratoren sollten die vollständige installierte Versionsnummer mit der jeweiligen korrigierten Version vergleichen, statt sich nur auf die ersten beiden Zahlen zu verlassen.
Die korrigierten Versionen von FTD Software sind 7.0.11 für 7.0 und älter, 7.2.13 für 7.2, 7.4.9 für 7.4, 7.6.7 für 7.6, 7.7.14 für 7.7, 10.0.3 für 10.0 und 10.1.1 für 10.1. Cisco weist FTD-Administratoren außerdem an, sowohl die implementierte Richtlinie für Remote Access VPN als auch die aktuelle running configuration des Geräts über Cisco Secure FMC Software oder Cisco Secure FDM zu prüfen. Dabei handelt es sich um die Verwaltungssoftware, mit der Geräteeinstellungen geprüft und bereitgestellt werden.
Wenn ein sofortiges Update nicht möglich ist, stellt Cisco konfigurationsbasierte vorübergehende Schutzmaßnahmen bereit. Administratoren können die Liste der tunnel group deaktivieren, sofern DefaultWEBVPNGroup keine secondary authentication verwendet. Alternativ können sie secondary authentication in jeder betroffenen, benutzerdefinierten tunnel group oder in DefaultWEBVPNGroup deaktivieren. Diese Änderungen können beeinflussen, wie sich Benutzer aus der Ferne anmelden. Organisationen sollten deshalb bei der Umsetzung ihre implementierte VPN-Richtlinie und die daraus resultierende Gerätekonfiguration prüfen.
Cisco gibt an, im Oktober 2026 von der aktiven Ausnutzung erfahren zu haben. Das Unternehmen hat keine Einzelheiten dazu veröffentlicht, wann die Angriffe begannen, wer sie ausführt oder wie breit die Schwachstelle angegriffen wurde. Die im Sicherheitshinweis beschriebene nachgewiesene Folge ist ein erzwungener Neustart mit einem daraus resultierenden Dienstausfall. Es wird nicht behauptet, dass Angreifer sich über diese Schwachstelle anmelden, Daten stehlen oder Software ausführen können.
Für Hostinganbieter, Unternehmen und Websitebetreiber besteht das praktische Problem in der Verfügbarkeit: Der Neustart eines VPN gateway kann den Remote Access unterbrechen, auf den Administratoren bei der Verwaltung interner Systeme und Onlinedienste angewiesen sind. Organisationen, die Unterstützung beim Umgang mit einer solchen Gefährdung benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Administratoren, die für ASA- oder FTD-Installationen verantwortlich sind, sollten erreichbare SSL VPN-Dienste ermitteln, die betreffenden Anmeldeeinstellungen prüfen und auf die jeweils passende korrigierte Version wechseln.