CISA nahm CVE-2026-76418 am 29. Oktober 2026 in den KEV-Katalog für aktiv ausgenutzte Schwachstellen auf. Die bis zum 1. November laufende Behebungsfrist gilt für US-Bundesbehörden. Cisco meldete für ASA- und FTD-Firewalls korrigierte Softwareversionen; betroffen sind bestimmte Konfigurationen des SSL-VPN für den Fernzugriff. (Canadian Centre for Cyber Security, Cisco-Sicherheitsmeldung)
Cisco zufolge wurde das Cisco PSIRT im Oktober 2026 auf eine aktive Ausnutzung aufmerksam. Ein Angreifer ohne Anmeldung kann eine präparierte Anfrage an den SSL-VPN-Dienst senden und dadurch einen Neustart der anfälligen Firewall auslösen. Die Folge ist ein Denial-of-Service, also ein Ausfall der Verfügbarkeit. Der CVSS-3.1-Wert beträgt 8,6 und entspricht der Einstufung „hoch“. (Cisco-Sicherheitsmeldung, NVD-Eintrag zu CVE-2026-76418)
Welche ASA- und FTD-Konfigurationen betroffen sind
Die Schwachstelle betrifft verwundbare Softwareversionen mit einem erreichbaren SSL-VPN für den Fernzugriff und sekundärer Authentifizierung auf Ebene einer Tunnelgruppe. Ein erfolgreicher VPN-Login ist nicht nötig, damit die Anfrage den betroffenen Verarbeitungspfad erreicht. Bei ASA-Konfigurationen ist auch webvpn mit aktiviertem SSL-VPN auf mindestens einer Schnittstelle relevant. (Cisco-Sicherheitsmeldung)
Bei FTD empfiehlt Cisco, die eingerichtete Richtlinie für das Fernzugriffs-VPN und die daraus resultierende Gerätekonfiguration in Secure FMC oder Secure FDM zu prüfen. Bei ASA sollten Administratoren die Tunnelgruppen einschließlich DefaultWEBVPNGroup berücksichtigen, wenn die Tunnelgruppenliste aktiviert ist. Auch bei abgeschalteter Liste kann die Standardgruppe betroffen sein, falls dort sekundäre Authentifizierung konfiguriert ist.
Gemeldete korrigierte Versionen für ASA und FTD
Die Korrekturen unterscheiden sich nach Produkt und Softwarezweig. Die folgende Übersicht nennt die von Cisco gemeldeten Versionen. (Cisco-Sicherheitsmeldung)
| Produkt | Softwarezweig | Korrigierte Version |
| ASA | 9.16 und früher | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.24 | 9.24.1.27 und 9.24.10.1 |
| FTD | 7.0 und früher | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Cisco beschreibt eine vorläufige Konfigurationsmaßnahme
Cisco nennt das Deaktivieren der sekundären Authentifizierung in der betroffenen Tunnelgruppe als vorläufige Maßnahme. Eine weitere Möglichkeit ist, die Tunnelgruppenliste abzuschalten, sofern DefaultWEBVPNGroup keine sekundäre Authentifizierung verwendet. Ist sie dort eingerichtet, beseitigt das Abschalten der Liste die betroffene Konfiguration nicht. Cisco weist darauf hin, dass die Eignung und Wirksamkeit der Maßnahme von der jeweiligen Umgebung abhängen. Sie ersetzt das Update auf eine korrigierte Version nicht. (Cisco-Sicherheitsmeldung)
