Cisco публикува спешни обновления за отстраняване на уязвимост от нулев ден в софтуера на защитните стени Adaptive Security Appliance (ASA) и Secure Firewall Threat Defense (FTD). Проблемът вече се експлоатира активно от нападатели за дистанционно предизвикване на срив в устройствата. Това създава реален риск от внезапно прекъсване на мрежовия достъп и блокиране на дистанционната работа за организациите, разчитащи на тези системи.
Важно: Дефектът позволява на отдалечен нападател без нужда от автентикация да рестартира защитната стена чрез изпращане на специално подготвена заявка при свързване към SSL VPN.
Какво представлява проблемът в Cisco ASA и FTD
Проблемът се проследява под номер CVE-2026-76418 и има оценка 8.6 по скалата за тежест CVSS. Той засяга услугата за отдалечен достъп Remote Access SSL VPN. Според разпространената от Cisco информация, дефектът се дължи на логически грешки при обработка на заявките, когато за дадена тунелна група (tunnel group) е конфигурирана вторична автентикация (secondary authentication).
За извършване на атаката не се изисква успешен вход в системата. Нападателят може да изпрати модифицирана заявка по време на първоначалното установяване на връзка със защитната стена. Обработката на тази заявка води до състояние на отказ от услуга (Denial of Service или DoS) и устройството се рестартира неочаквано.
Екипът за реакция при инциденти на Cisco (PSIRT) съобщи, че е регистрирал активна експлоатация на уязвимостта в интернет през октомври 2026 г. Проблемът е открит по време на казус за техническа поддръжка през Cisco TAC, като откриването му е приписано на Eric Fernald. Към момента производителят не предоставя индикатори за компрометиране или конкретни данни кои организации са атакувани.
Кои мрежови среди са засегнати
За да може защитната стена да бъде уязвима за атаката, е необходимо да са изпълнени едновременно следните условия:
- Устройството да работи със софтуер Cisco ASA или Cisco FTD без приложени корекции;
- В конфигурацията да присъства ключовата дума
webvpnи SSL VPN услугата да е активирана на поне един интерфейс; - В съответната тунелна група да е конфигурирана вторична автентикация, включително за групата по подразбиране
DefaultWEBVPNGroupили в потребителски дефиниран списък от групи.
От Cisco поясняват, че техните облачни продукти за защитни стени, решението Secure Access и системата Secure Firewall Management Center не са засегнати от този проблем.
Мащабът на потенциално уязвимата инфраструктура остава значителен. По данни на мониторинговата платформа Shadowserver в световен мащаб са видими над 51 000 устройства Cisco ASA с достъпна SSL VPN услуга. Това е вторият експлоатиран нулев ден от типа DoS за тези защитни стени в рамките на последните месеци. През август Cisco коригира уязвимостта CVE-2026-20349, която представляваше грешка при обработка на HTTP заявки към SSL сокети.
Мрежовото оборудване на производителя е честа мишена. Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) отчита, че от ноември 2021 г. насам 101 уязвимости в системи на Cisco са били експлоатирани в реални атаки, като 7 от тях са били използвани и от групи за разпространение на ransomware.
Какво да предприемат ИТ администраторите
Cisco не предлага пълноценно временно решение, което да замени софтуерната корекция, и препоръчва преминаване към актуализираните версии на софтуера. За администраторите, които не могат да обновят системите незабавно, съществува временен вариант за намаляване на риска.
Прегледайте настройките на вашите защитни стени ASA и FTD, за да проверите дали има активен SSL VPN интерфейс и дали тунелните групи използват secondary authentication.
Изтеглете съответните коригирани софтуерни версии и планирайте обновяването на защитните стени с приоритет.
Ако не можете да обновите веднага, изключете вторичната автентикация за DefaultWEBVPNGroup или деактивирайте списъка с тунелни групи. Cisco изрично предупреждава, че премахването на вторичната автентикация намалява сигурността на отдалечения достъп, затова тази мярка трябва да е само временна.
Обобщение
Защитните стени и VPN решенията осигуряват защитен вход към корпоративната инфраструктура. Внезапният им срив води до блокиране на отдалечената работа и прекъсване на бизнес процесите. Екипът на Defend.bg може да съдейства за одит на настройките на мрежовия периметър, проверка за налични уязвимости и правилно планиране на софтуерните обновления.
