Una falla nelle VPN Cisco sotto attacco può forzare il riavvio dei firewall
Una falla nelle VPN Cisco identificata come CVE-2026-76418 viene sfruttata attivamente per forzare il riavvio dei dispositivi vulnerabili Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD). Cisco ha pubblicato aggiornamenti di sicurezza, comunemente chiamati patches, per il software interessato. L'azienda afferma che un aggressore può innescare il problema da remoto senza prima effettuare l'accesso, causando una condizione di denial-of-service (DoS) che rende indisponibile il dispositivo o il relativo servizio.
La vulnerabilità ha un punteggio di gravità pari a 8,6 secondo il Common Vulnerability Scoring System (CVSS), una scala standard utilizzata per descrivere la gravità delle falle di sicurezza. Interessa il servizio Remote Access SSL VPN, che consente agli utenti di connettersi da remoto alla rete di un'organizzazione. Secondo Cisco, si raggiunge una logica difettosa quando la secondary authentication, un controllo aggiuntivo dell'identità, è configurata per un tunnel group, ossia un profilo contenente le impostazioni per una categoria di connessioni VPN. Una richiesta di connessione appositamente predisposta può quindi provocare un reload imprevisto del dispositivo di sicurezza di rete. Per raggiungere il percorso di elaborazione vulnerabile non è necessario completare correttamente un accesso VPN.
Un dispositivo è esposto soltanto quando si verificano tre condizioni. Deve eseguire una release vulnerabile di ASA o FTD, il suo servizio di accesso SSL VPN per l'accesso remoto deve essere raggiungibile e la secondary authentication deve essere configurata nelle impostazioni del tunnel group. Questa combinazione è importante per gli amministratori che valutano il rischio, perché la semplice esecuzione di una delle release software elencate non implica che ogni dispositivo presenti la configurazione vulnerabile.
Cisco consiglia agli amministratori che hanno configurato tunnel-group-list enable di esaminare ogni tunnel group per verificare la presenza di secondary-authentication-server-group, incluso il DefaultWEBVPNGroup integrato. Se tunnel-group-list enable è assente o è stato rimosso con il comando no tunnel-group-list enable, gli amministratori devono comunque controllare DefaultWEBVPNGroup. La disattivazione dell'elenco dei gruppi non elimina l'esposizione se tale gruppo predefinito continua a utilizzare la secondary authentication.
Per ASA Software, Cisco indica come release corrette la 9.16.4.104 per la linea 9.16 e precedenti, la 9.18.4.96 per la 9.18, la 9.20.4.50 per la 9.20, la 9.22.3.200 per la 9.22 e la 9.23.1.48 per la 9.23. I sistemi della linea 9.24 possono passare alla 9.24.1.27 oppure alla 9.24.10.1. Gli amministratori devono confrontare il numero completo della versione installata con la relativa release corretta, anziché basarsi soltanto sui primi due numeri.
Le release corrette di FTD Software sono la 7.0.11 per la linea 7.0 e precedenti, la 7.2.13 per la 7.2, la 7.4.9 per la 7.4, la 7.6.7 per la 7.6, la 7.7.14 per la 7.7, la 10.0.3 per la 10.0 e la 10.1.1 per la 10.1. Cisco invita inoltre gli amministratori FTD a controllare sia la remote access VPN policy distribuita sia la running configuration corrente del dispositivo tramite Cisco Secure FMC Software o Cisco Secure FDM, i software di gestione utilizzati per esaminare e distribuire le impostazioni dei dispositivi.
Quando non è possibile effettuare immediatamente un aggiornamento, Cisco fornisce mitigazioni temporanee basate sulla configurazione. Gli amministratori possono disattivare l'elenco dei tunnel group quando DefaultWEBVPNGroup non utilizza la secondary authentication. In alternativa, possono disabilitare la secondary authentication sui tunnel group configurati dagli utenti interessati o su DefaultWEBVPNGroup. Queste modifiche possono alterare il modo in cui gli utenti remoti effettuano l'autenticazione, quindi le organizzazioni devono controllare la VPN policy distribuita e la conseguente configurazione del dispositivo quando le applicano.
Cisco afferma di essere venuta a conoscenza dello sfruttamento attivo nell'ottobre 2026. Non ha fornito dettagli su quando siano iniziati gli attacchi, su chi li stia conducendo o su quanto ampiamente sia stata presa di mira la vulnerabilità. L'esito dimostrato descritto nell'avviso è un riavvio forzato con la conseguente interruzione del servizio, non l'affermazione che gli aggressori possano effettuare l'accesso, rubare dati o eseguire software tramite questa falla.
Per i provider di hosting, le aziende e i gestori di siti web, il problema concreto riguarda la disponibilità: il riavvio di un gateway VPN può interrompere l'accesso remoto da cui dipendono gli amministratori per gestire i sistemi interni e i servizi online. Per le organizzazioni che necessitano di assistenza nella gestione di questo tipo di esposizione, AEU-I offre servizi IT, infrastruttura e consulenza con la sicurezza come priorità. Gli amministratori responsabili delle installazioni ASA o FTD devono individuare i servizi SSL VPN raggiungibili, controllare le relative impostazioni di autenticazione e passare alla release corretta applicabile.