Cisco heeft patches uitgebracht om een kwetsbaarheid met hoge ernst te verhelpen in Secure Firewall Adaptive Security Appliance (ASA) Software en Secure Firewall Threat Defense (FTD) Software, waarvan het bedrijf aangeeft dat die in het wild is misbruikt.
De kwetsbaarheid, geregistreerd als CVE-2026-76418, heeft een CVSS-score van 8,6. Een succesvolle exploit kan een niet-geauthenticeerde, externe aanvaller in staat stellen het apparaat onverwacht te laten herstarten, wat kan leiden tot een denial-of-service (DoS)-situatie.
Volgens Cisco is het probleem geworteld in de Remote Access SSL VPN-service van ASA- en FTD-software.
“Deze kwetsbaarheid wordt veroorzaakt door logische fouten wanneer secundaire authenticatie is geconfigureerd op een tunnelgroep,” zei het in een advies op woensdag. “Een aanvaller zou deze kwetsbaarheid kunnen misbruiken door een specifiek verzoek te sturen bij het verbinden met de SSL remote access VPN. Een succesvolle exploit kan de aanvaller in staat stellen het getroffen apparaat te laten herstarten, wat resulteert in een DoS-toestand.”
De netwerkfabrikant gaf aan dat het in oktober 2026 op de hoogte is gesteld van actieve uitbuiting van deze kwetsbaarheid, maar deelde geen details over wanneer de aanvallen begonnen, wie erachter zit of de omvang van de pogingen.
Oplossingen voor de fout zijn beschikbaar in de volgende versies –
-
Cisco Secure Firewall ASA Software Release
- 9.16 en eerder – Verholpen in 9.16.4.104
- 9.18 – Verholpen in 9.18.4.96
- 9.20 – Verholpen in 9.20.4.50
- 9.22 – Verholpen in 9.22.3.200
- 9.23 – Verholpen in 9.23.1.48
- 9.24 – Verholpen in 9.24.1.27 en 9.24.10.1
-
Cisco Secure FTD Software Release
- 7.0 en eerder – Verholpen in 7.0.11
- 7.2 – Verholpen in 7.2.13
- 7.4 – Verholpen in 7.4.9
- 7.6 – Verholpen in 7.6.7
- 7.7 – Verholpen in 7.7.14
- 10.0 – Verholpen in 10.0.3
- 10.1 – Verholpen in 10.1.1
Cisco merkte ook op dat de kwetsbaarheid Cisco-apparaten beïnvloedt als aan de volgende voorwaarden is voldaan –
- Ze draaien een kwetsbare release van Cisco Secure Firewall ASA Software of Cisco Secure FTD Software.
- De SSL remote access VPN login-service bereikbaar is.
- Secundaire authenticatie is geconfigureerd binnen de scope van de tunnelgroep.
“Als tunnel-group-list enable is geconfigureerd, controleer dan alle tunnelgroepen, inclusief de standaardtunnelgroep DefaultWEBVPNGroup, op secondary-authentication-server-group,” zei Cisco.
“Als tunnel-group-list enable afwezig is of is verwijderd met het commando no tunnel-group-list enable, controleer dan de standaardtunnelgroep DefaultWEBVPNGroup op secondary-authentication-server-group omdat het uitschakelen van de grouplijst de blootstelling niet verwijdert wanneer die standaardgroep secundaire authenticatie gebruikt.”
Als tijdelijke mitigatie raadt het bedrijf klanten aan de tunnelgrouplijst uit te schakelen als DefaultWEBVPNGroup geen secundaire authenticatie gebruikt, of secundaire authenticatie uit te schakelen op elke door de gebruiker geconfigureerde tunnelgroeplijst of op de standaardtunnelgroep DefaultWEBVPNGroup.
“Op Cisco Secure FTD Software, bekijk het uitgerolde remote access VPN-beleid en de resulterende apparaatconfiguratie die draait in Cisco Secure FMC Software of Cisco Secure FDM,” zei Cisco. “Een succesvolle VPN-login is niet vereist om het getroffen verwerkingspad te bereiken.”
De openbaarmaking komt terwijl Cisco onthulde dat een geavanceerde persistent threat (APT)-actor, getraceerd als UAT-11473, CVE-2026-20127—een kwetsbaarheid voor het omzeilen van authenticatie in Cisco SD-WAN Catalyst Controller-instances— heeft benut om authenticatie te omzeilen en ongeautoriseerde toegang te verkrijgen tot getroffen systemen.
De activiteit, die gericht is geweest op ruimte- en satellietdiensten, defensie- en lucht- en ruimtevaarttechnologie en beleidsonderzoekssectoren, wordt beoordeeld als gedeelde infrastructuur met de geheime keten van Volt Typhoon’s Silent Train.
“UAT-11473 installeerde vervolgens een aangepast malwareframework dat wij volgen als ‘KeyDrift’, bestaande uit meerdere componenten (zoals PolyFlame en LittleFilch) gericht op het verzamelen van gevoelige sleutelinformatie, het fungeren als backdoors en als tussenliggende command-and-control (C2)-hosts,” zei Cisco Talos.
“Het framework is ontworpen om langdurige persistente toegang en geautomatiseerde exfiltratie van gevoelige sleutelmaterialen te bieden. KeyDrift werkt binnen SD-WAN control-plane processen en is in staat om ontsleuteld control-verkeer te onderscheppen, control-sessie metadata en data-plane sleutelmaterialen te extraheren, en het verzamelde materiaal te bewaren of te verzenden met behulp van versleutelde records.”
