Cisco пусна актуализации за сигурност за активно експлоатираната уязвимост CVE-2026-76418 — дефект в софтуера Secure Firewall ASA и FTD, който позволява на неавтентикирани отдалечени атакуващи да предизвикат рестартиране на устройството, причинявайки отказ на услуга (DoS) и прекъсвайки отдалечения достъп.

Уязвимостта с висока степен на опасност има CVSS рейтинг 8.6. Cisco публикува своя бюлетин за сигурност на 28 октомври 2026 г., след като нейният екип за реагиране на инциденти, свързани със сигурността на продуктите (PSIRT), научи за активна експлоатация през октомври. Eric Fernald откри проблема при разрешаване на инцидент за поддръжка в Центъра за техническа помощ (TAC) на Cisco.

Дефектът произтича от логически грешки в услугата Remote Access SSL VPN, когато в тунелна група е конфигурирана вторична автентикация. Атакуващ може да изпрати специално създадена заявка при свързване с VPN услугата и да предизвика неочаквано рестартиране на устройството. Не се изисква успешно влизане във VPN, за да бъде достигнат засегнатият път на обработка.

Бюлетинът на Cisco потвърждава проблем с отказ на услуга, причиняващ рестартиране на устройствата и прекъсване на услугите, но не идентифицира атакуващи или жертви и не съобщава за потвърдена кражба на данни или отдалечено изпълнение на код.

Cisco Secure Firewall 0-Day

Проблемът следва по-ранни атаки за срив на Cisco защитни стени през VPN, свързани с CVE-2026-20349. Той също така е отделен от предварително докладваната zero-day уязвимост за изпълнение на код в Cisco ASA, CVE-2025-20333. Тези дефекти имат различни причини и не трябва да се разглеждат като взаимозаменяеми.

Уязвимостта засяга среди с компрометиран софтуер ASA или FTD, достъпна услуга за вход през SSL отдалечен VPN достъп и вторична автентикация в съответната конфигурация на тунелната група.

Администраторите трябва да проверят дали webvpn е активиран на интерфейса и да инспектират тунелните групи за secondary-authentication-server-group.

Когато е конфигурирано tunnel-group-list enable, проверките трябва да обхващат всички тунелни групи, включително DefaultWEBVPNGroup, а не само профилите, показани на страницата за вход.

Премахването на списъка с групи не елиминира уязвимостта, ако групата по подразбиране все още използва вторична автентикация. Secure FMC, Cloud-delivered Firewall, cloud-delivered FMC и Secure Access не са засегнати.

Коригираните версии на ASA включват 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 и 9.23.1.48. Cisco изброява също 9.24.1.27 и 9.24.10.1. Коригираните версии на FTD включват 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1. Администраторите трябва да изберат подходящата версия за своя софтуерен клон.

Cisco не посочва заобиколно решение, но предоставя насоки за временно ограничаване на риска въз основа на настройките на тунелната група. Изключването на списъка с групи може да помогне, когато в групата по подразбиране липсва вторична автентикация.

В противен случай премахването на вторичната автентикация намалява сигурността на VPN и изисква внимателен преглед. Cisco силно препоръчва инсталирането на корекции за сигурност и използването на нейния инструмент Software Checker, за да се потвърди кои версии са уязвими и да се идентифицира подходящ коригиран софтуер преди планирането на обновяванията.