Il 29 ottobre 2026 CISA ha inserito CVE-2026-76418 nel catalogo Known Exploited Vulnerabilities (KEV), citando prove di sfruttamento attivo. La vulnerabilità riguarda il servizio Remote Access SSL VPN dei firewall Cisco ASA e FTD: un aggressore remoto non autenticato può provocare il riavvio del dispositivo quando sono presenti tre condizioni di configurazione.
Cisco ha riferito che il proprio team di sicurezza dei prodotti era venuto a conoscenza dello sfruttamento nel corso di ottobre 2026. Questa data riguarda la segnalazione di Cisco, mentre il 29 ottobre è il giorno in cui CISA ha aggiornato il catalogo.
Quali configurazioni ASA e FTD sono esposte
Secondo Cisco, l’esposizione richiede contemporaneamente:
- una versione vulnerabile del software;
- un servizio SSL VPN di accesso remoto raggiungibile;
- l’autenticazione secondaria configurata nell’ambito del tunnel-group interessato, cioè il profilo che definisce le impostazioni della connessione VPN.
Non serve che l’aggressore completi l’accesso alla VPN: è sufficiente raggiungere il percorso di elaborazione vulnerabile. L’esito riportato è un riavvio imprevisto del firewall e una conseguente negazione del servizio. Cisco ha assegnato alla falla un punteggio CVSS di 8,6. CISA la classifica come un errore nella gestione di un valore di ritorno che può portare alla dereferenziazione di un puntatore NULL, un riferimento a un indirizzo di memoria non valido (avviso CISA).
Versioni corrette riportate per ramo software
New York State ITS riporta le seguenti versioni come corrette per i rispettivi rami ASA e FTD (avviso tecnico). La distinzione per ramo conta: il numero di versione da confrontare è quello della famiglia software installata sul dispositivo.
| Ramo software | Prima versione corretta riportata |
| ASA 9.16 e precedenti | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.24 | 9.24.1.27 oppure 9.24.10.1 |
| FTD 7.0 e precedenti | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
Cisco raccomanda di aggiornare e di controllare il modello e la versione installata con il proprio Software Checker. La prima versione corretta per questo CVE non è necessariamente quella più adatta a risolvere anche le altre vulnerabilità che interessano un dispositivo.
Misure temporanee e compromesso di sicurezza
Cisco afferma che non esiste una soluzione alternativa che corregga la falla e raccomanda l’aggiornamento. Come misura temporanea, indica di rimuovere l’autenticazione secondaria dai tunnel-group interessati. Questo interviene su una delle condizioni richieste per l’attacco, ma riduce la sicurezza della VPN di accesso remoto.
Disattivare l’elenco dei tunnel-group può essere una misura pertinente quando il gruppo predefinito non usa l’autenticazione secondaria. Anche in quel caso va considerato il gruppo predefinito DefaultWEBVPNGroup: può restare coinvolto anche quando l’elenco è disattivato. Perciò il controllo della configurazione non va limitato ai profili mostrati nella pagina di accesso VPN.
CVE-2026-76418 è distinta da CVE-2026-20349, un’altra vulnerabilità di negazione del servizio della VPN SSL per cui Cisco aveva rilasciato correzioni nell’agosto 2026.
