Cisco heeft securityupdates uitgebracht voor een ernstige kwetsbaarheid in de Secure Firewall ASA- en FTD-producten. Aanvallers misbruiken de kwetsbaarheid inmiddels. Ze kunnen getroffen apparaten op afstand laten crashen waardoor VPN-verbindingen van gebruikers kunnen worden verstoord.
De kwetsbaarheid, geregistreerd als CVE-2026-76418, heeft een CVSS-ernstscore van 8,6. Het lek treft de Remote Access SSL VPN-functionaliteit in Cisco Secure Firewall Adaptive Security Appliance (ASA) en Secure Firewall Threat Defense (FTD).
Volgens Cisco is het beveiligingslek het gevolg van fouten in de afhandeling van secundaire authenticatie. Een niet-geauthenticeerde aanvaller kan misbruik maken van de kwetsbaarheid door een gemanipuleerd verzoek te sturen naar een bereikbare SSL VPN-dienst. Een succesvolle aanval dwingt de firewall om opnieuw op te starten, wat een denial-of-service-situatie veroorzaakt.
De kwetsbaarheid treft alleen specifieke configuraties. Apparaten zijn kwetsbaar wanneer SSL VPN is ingeschakeld en secundaire authenticatie is geconfigureerd voor een getroffen tunnelgroep. Cisco waarschuwt dat het uitschakelen van de tunnelgroeplijst het risico niet noodzakelijkerwijs wegneemt, aangezien de standaardtunnelgroep kwetsbaar kan blijven.
Beveiligingsupdates beschikbaar
Cisco heeft patches uitgebracht voor meerdere versies van ASA- en FTD-software. De bijgewerkte ASA-versies zijn 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 en 9.24.10.1.
Voor FTD is de kwetsbaarheid verholpen in de versies 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 en 10.1.1.
Cisco raadt aan de updates onmiddellijk te installeren, juist omdat er in de praktijk al misbruik is geconstateerd. Beheerders kunnen de Software Checker van het bedrijf gebruiken om te bepalen of hun installaties zijn getroffen en om vast te kunnen stellen welke bijgewerkte versie nodig is.
Tijdelijke oplossing
Cisco heeft geen volledige workaround beschikbaar gesteld. Wel kunnen beheerders het risico tijdelijk beperken door secundaire authenticatie uit te schakelen op getroffen tunnelgroepen, waaronder de standaardgroep DefaultWEBVPNGroup.
Het bedrijf zegt dat deze maatregel succesvol was tijdens tests, maar waarschuwt dat het uitschakelen van secundaire authenticatie de netwerkfunctionaliteit en -beveiliging kan beïnvloeden. Organisaties moeten daarom de gevolgen evalueren alvorens de wijziging door te voeren. Cisco heeft niet bekendgemaakt wie achter de aanvallen zitten.