ASA Cisco e FTD: falla CVE-2026-76418 nella VPN SSL, già sfruttata
Chi gestisce firewall Cisco Secure Firewall ASA o Secure Firewall Threat Defense (FTD) con VPN SSL ad accesso remoto e autenticazione secondaria sui tunnel group deve aggiornare. Il 28 ottobre 2026 Cisco ha pubblicato l’advisory ufficiale su CVE-2026-76418. Un attaccante remoto e non autenticato può far riavviare il dispositivo. Il Cisco PSIRT ha saputo di uno sfruttamento attivo a ottobre 2026.
Secondo Cisco non esistono workaround. Esiste una mitigazione, descritta più sotto, ma l’azienda raccomanda con forza di installare la release corretta.
Chi è esposto e quanto è grave
L’advisory ha l’ID cisco-sa-asaftd-tunnel-dos-s6mgkb75, è alla versione 1.0 (finale) e ha gravità High. La vulnerabilità è CVE-2026-76418 (bug ID Cisco CSCwx26625), con punteggio CVSS base 8.6.
Un dispositivo è vulnerabile solo se si verificano tre condizioni insieme, secondo Cisco:
- esegue una release vulnerabile di ASA o FTD;
- il servizio di login SSL VPN ad accesso remoto è raggiungibile;
- l’autenticazione secondaria è configurata nell’ambito del tunnel group.
Cisco indica come non vulnerabili Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access (CSA) e Secure FMC Software.
Cosa permette a chi attacca
La causa è un errore di logica che compare quando l’autenticazione secondaria è configurata su un tunnel group. Basta inviare una richiesta costruita ad hoc durante la connessione alla VPN SSL. Il risultato è un riavvio inatteso del dispositivo, cioè un denial of service.
Non serve un login VPN riuscito.
Versioni corrette
Le tabelle indicano la prima release che include la correzione per ogni ramo. Cisco precisa che il suo PSIRT convalida solo le informazioni su release interessate e corrette riportate nell’advisory.
| Software | Ramo | Prima release corretta |
|---|---|---|
| ASA | 9.16 e precedenti | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27 e 9.24.10.1 |
| FTD | 7.0 e precedenti | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Come controllare se la configurazione è a rischio
Cisco indica questi controlli sulla configurazione in esecuzione:
- deve contenere la parola chiave
webvpn, con SSL VPN abilitata su almeno un’interfaccia; - se è configurato
tunnel-group-list enable, controlla tutti i tunnel group, compresoDefaultWEBVPNGroup, cercandosecondary-authentication-server-group. Il controllo non si limita ai profili mostrati nella pagina di login; - se
tunnel-group-list enablemanca o è stato tolto conno tunnel-group-list enable, controlla comunqueDefaultWEBVPNGroup: disattivare la lista non elimina l’esposizione se quel gruppo usa l’autenticazione secondaria; - su FTD, le funzioni di accesso remoto si gestiscono da Devices > VPN > Remote Access in Secure FMC o da Remote Access VPN in Secure Firewall Device Manager (FDM). Esamina la policy VPN distribuita e la configurazione in esecuzione che ne risulta.
Per sapere quali advisory riguardano una specifica release e qual è la prima release che li corregge, Cisco offre il Cisco Software Checker. Per aggiornare un dispositivo FTD si seguono le guide di upgrade di Secure FMC.
Aggiornare, o mitigare nell’attesa
Cisco considera workaround e mitigazioni soluzioni temporanee, in attesa dell’aggiornamento. La mitigazione consiste nel disattivare l’autenticazione secondaria sui tunnel group in lista o su DefaultWEBVPNGroup. Due casi:
- se
DefaultWEBVPNGroupnon usa l’autenticazione secondaria, disattiva la lista dei tunnel group conno tunnel-group-list enablein modalità WebVPN. Gli utenti non potranno più scegliere il profilo da un elenco e dovranno conoscere quello corretto; - se
DefaultWEBVPNGroupusa l’autenticazione secondaria, rimuovila conno secondary-authentication-server-group. Cisco avverte che così il livello di sicurezza della VPN ad accesso remoto si abbassa.
Cisco dice che la mitigazione è stata provata con successo in ambiente di test. Va però valutata nel proprio ambiente prima di applicarla, perché può incidere su funzionalità, prestazioni e sicurezza della rete.
Chi l’ha scoperta
Secondo Cisco, la vulnerabilità è stata trovata da Eric Fernald durante la risoluzione di un caso di supporto del Cisco TAC (Technical Assistance Center).
