CISA voegde CVE-2026-76418 op 29 oktober 2026 toe aan de Known Exploited Vulnerabilities-catalogus (KEV), op basis van bewijs van actief misbruik. De kwetsbaarheid treft de Remote Access SSL VPN-dienst van Cisco Secure Firewall ASA- en FTD-software en kan onder drie specifieke configuratievoorwaarden een firewall onverwacht laten herstarten. CISA
Wanneer is een ASA- of FTD-configuratie kwetsbaar?
Volgens de technische beschrijving van New York State ITS kan een aanvaller op afstand de fout misbruiken als alle drie deze voorwaarden gelden:
- De firewall draait een kwetsbare softwareversie.
- De Remote Access SSL VPN-dienst is op afstand bereikbaar.
- Secundaire authenticatie is ingesteld voor de betreffende tunnelgroep.
Een aanvaller hoeft niet eerst succesvol in te loggen op de VPN om het getroffen verwerkingspad te bereiken. Het gemelde gevolg is een onverwachte herstart van het apparaat en een denial-of-service, waarbij de firewall tijdelijk geen diensten kan leveren. Cisco gaf de kwetsbaarheid een CVSS-score van 8,6. New York State ITS
Gemelde herstelde versies per softwaretak
New York State ITS vermeldt de volgende eerste versies waarin de kwetsbaarheid per softwaretak is verholpen. Vergelijk de volledige versie op het apparaat met de bijbehorende tak; ASA of FTD alleen is niet voldoende om de juiste rij te bepalen. New York State ITS
| Cisco-softwaretak | Gemelde eerste herstelde versie |
| ASA 9.16 en eerder | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.24 | 9.24.1.27 of 9.24.10.1 |
| FTD 7.0 en eerder | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
Cisco raadt een upgrade naar een herstelde versie aan. De versietabel geeft de gemelde reparatie per softwaretak; voor een updatebesluit blijft de volledige softwareversie van de eigen firewall bepalend.
Tijdelijke maatregelen verlagen ook de VPN-beveiliging
Cisco zegt dat er geen workaround is die de kwetsbaarheid zelf verhelpt. Als tijdelijke maatregel kan een beheerder de secundaire authenticatie voor de getroffen tunnelgroepen uitschakelen. Daarmee vervalt een van de genoemde voorwaarden voor misbruik, maar de remote-access-VPN wordt minder veilig.
Het uitschakelen van de tunnel-group-lijst is alleen van toepassing wanneer de standaardtunnelgroep geen secundaire authenticatie gebruikt. Ook als die lijst uitstaat, kan de standaardgroep DefaultWEBVPNGroup relevant blijven. Cisco beveelt daarom een upgrade aan in plaats van de tijdelijke configuratiewijzigingen als oplossing te behandelen.
