CISA nahm CVE-2026-76418 am 29. Oktober 2026 in den KEV-Katalog für bekannte, aktiv ausgenutzte Schwachstellen auf. Betroffen sind Cisco-ASA- und FTD-Firewalls, wenn drei Konfigurationsbedingungen zusammentreffen: eine verwundbare Softwareversion, ein erreichbarer Remote-Access-SSL-VPN-Dienst und sekundäre Authentifizierung in der betreffenden Tunnelgruppe. Für den Angriff ist laut Cisco kein erfolgreicher VPN-Login nötig.
Welche ASA- und FTD-Systeme betroffen sind
Die Schwachstelle betrifft den Dienst Remote Access SSL VPN in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software. Cisco zufolge kann ein nicht authentifizierter Angreifer darüber einen unerwarteten Neustart der Firewall auslösen. Das führt zu einem Denial of Service, also einer Unterbrechung des Dienstes.
Für eine mögliche Gefährdung müssen alle drei Bedingungen erfüllt sein: Die installierte Version ist verwundbar, der SSL-VPN-Dienst ist erreichbar und in der betroffenen Tunnelgruppe ist eine sekundäre Authentifizierung konfiguriert. Ein erfolgreicher Login ist nicht erforderlich, um den betroffenen Verarbeitungspfad zu erreichen. Cisco bewertete CVE-2026-76418 mit CVSS 8,6. CISA ordnet die Schwachstelle als Fehler bei der Prüfung eines Rückgabewerts ein, der zu einem Zugriff auf einen NULL-Zeiger führen kann (CISA-Mitteilung).
Cisco hatte nach eigenen Angaben im Oktober 2026 Kenntnis von aktiver Ausnutzung erlangt. Der Eintrag im KEV-Katalog folgte am 29. Oktober; CISA begründete ihn mit Hinweisen auf aktive Ausnutzung.
Gemeldete behobene Versionen nach Software-Train
Die New York State Office of Information Technology Services führt folgende erste behobene Versionen auf. Der Abgleich mit dem installierten Software-Train hilft dabei, einen passenden Aktualisierungspfad zu bestimmen (Sicherheitsmitteilung der New York State Office of Information Technology Services).
| Cisco-Software-Train | Gemeldete erste behobene Version |
| ASA 9.16 und älter | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.24 | 9.24.1.27 oder 9.24.10.1 |
| FTD 7.0 und älter | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
Temporäre Maßnahmen und ihre Sicherheitsfolgen
Cisco empfiehlt ein Upgrade auf eine behobene Version. Eine Maßnahme, die die Schwachstelle selbst beseitigt, gibt es laut Cisco nicht. Als vorübergehende Risikominderung lässt sich die sekundäre Authentifizierung in betroffenen Tunnelgruppen deaktivieren. Dadurch wird der Remote-Access-VPN-Zugang jedoch weniger sicher.
Das Deaktivieren der Tunnelgruppenliste kommt laut Cisco nur dann als weitere Maßnahme infrage, wenn die Standard-Tunnelgruppe keine sekundäre Authentifizierung verwendet. Auch bei ausgeblendeter Gruppenliste kann die Standardgruppe DefaultWEBVPNGroup relevant bleiben. Bei FTD sollten Administratoren die eingesetzte Remote-Access-VPN-Richtlinie und die laufende Konfiguration prüfen.
