Cisco ASA i FTD: atakujący wykorzystują lukę wyłączającą dostęp przez VPN

Cisco potwierdziło aktywne wykorzystywanie CVE-2026-76418 w oprogramowaniu Secure Firewall ASA i FTD. Luka pozwala zdalnemu napastnikowi bez logowania spowodować restart urządzenia i przerwę w działaniu usług. Producent opublikował ostrzeżenie oraz informacje o poprawkach 28 października.

Co się stało

Problem dotyczy obsługi zdalnego dostępu SSL VPN. Tenable również opisuje możliwość wywołania odmowy usługi przez odpowiednio przygotowane żądanie połączenia. Cisco informuje, że o aktywnym wykorzystywaniu luki dowiedziało się w październiku.

Dla organizacji korzystającej z takiej zapory praktycznym zagrożeniem jest utrata dostępności połączeń. Przy ocenie skutków warto uwzględnić pracowników zdalnych oraz usługi biznesowe zależne od urządzenia.

Kogo dotyczy zagrożenie

Według Cisco podatność wymaga określonej konfiguracji: urządzenie musi korzystać z podatnej wersji oprogramowania, udostępniać usługę logowania SSL VPN i mieć skonfigurowane dodatkowe uwierzytelnianie w odpowiedniej grupie tuneli. Sam fakt posiadania ASA lub FTD nie przesądza więc o podatności.

Administrator powinien zestawić rzeczywistą konfigurację z warunkami opisanymi w komunikacie. Warto objąć przeglądem także urządzenia zapasowe, aby po przełączeniu ruchu nie wrócić do podatnej instalacji.

Co zrobić teraz

• Ustal wersję oprogramowania i sprawdź warunki podatności w komunikacie Cisco.
• Dobierz poprawioną wersję dla używanej gałęzi produktu, korzystając z tabeli producenta lub Cisco Software Checker.
• Zaplanuj aktualizację z uwzględnieniem przerwy w dostępie i możliwości powrotu do sprawnej konfiguracji.
• Po wdrożeniu sprawdź działanie VPN, logowanie użytkowników i stan urządzenia.
• Przejrzyj historię nieoczekiwanych restartów oraz zdarzenia na interfejsie VPN. Traktuj je jako materiał do analizy, a nie samodzielny dowód ataku.

Komentarz SecurHUB

Przy aktywnie wykorzystywanej luce znaczenie ma szybkie ustalenie, które urządzenia spełniają warunki podatności. Audyt bezpieczeństwa infrastruktury może pomóc sprawdzić konfigurację zdalnego dostępu i uporządkować kolejność aktualizacji.

Źródła: Cisco, Tenable