CISA dodała CVE-2026-76418 do katalogu Known Exploited Vulnerabilities (KEV) 29 października 2026 r., wskazując dowody aktywnego wykorzystywania podatności (komunikat CISA). Luka w usłudze Remote Access SSL VPN oprogramowania Cisco Secure Firewall ASA i FTD może doprowadzić do restartu zapory i odmowy usługi. Ryzyko dotyczy konfiguracji spełniających jednocześnie trzy warunki.
Kiedy konfiguracja ASA lub FTD jest narażona
Według informacji Cisco podatność dotyczy urządzenia, na którym działają podatna wersja oprogramowania i osiągalna zdalnie usługa Remote Access SSL VPN, a w odpowiedniej grupie tunelowej (tunnel-group) skonfigurowano dodatkowe uwierzytelnianie. Wszystkie te warunki muszą wystąpić łącznie.
Atakujący nie musi pomyślnie zalogować się do VPN, by dotrzeć do podatnej ścieżki przetwarzania. Zgłoszonym skutkiem jest nieoczekiwany restart urządzenia i odmowa usługi. CISA opisała błąd jako nieobsłużoną wartość zwracaną, która prowadzi do dereferencji wskaźnika NULL.
Przy ocenie konfiguracji warto więc sprawdzić nie tylko wersję ASA lub FTD, lecz także dostępność usługi SSL VPN i ustawienia dodatkowego uwierzytelniania w odpowiedniej grupie tunelowej. W przypadku FTD należy uwzględnić skonfigurowaną politykę zdalnego dostępu VPN oraz działającą konfigurację.
Zgłoszone poprawione wersje ASA i FTD
New York State Office of Information Technology Services wymienia poniższe wersje jako poprawione dla poszczególnych gałęzi oprogramowania (zestawienie wersji). Dopasuj wpis do gałęzi zainstalowanej na urządzeniu.
| Gałąź oprogramowania | Pierwsza poprawiona wersja |
| ASA 9.16 i wcześniejsze | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.24 | 9.24.1.27 lub 9.24.10.1 |
| FTD 7.0 i wcześniejsze | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
Tymczasowe ograniczenie ryzyka obniża bezpieczeństwo VPN
Cisco zaleca aktualizację do poprawionej wersji i informuje, że nie ma obejścia usuwającego podatność. Jako tymczasowe działanie opisuje wyłączenie dodatkowego uwierzytelniania w narażonych grupach tunelowych. Może to ograniczyć ekspozycję, ale obniża bezpieczeństwo zdalnego dostępu VPN.
Wyłączenie listy grup tunelowych ma zastosowanie tylko wtedy, gdy domyślna grupa nie korzysta z dodatkowego uwierzytelniania. Sama lista widoczna na stronie logowania nie wyznacza pełnego zakresu kontroli: istotna może pozostać domyślna grupa DefaultWEBVPNGroup.
