Cisco lagar nolldagssårbarhet som används för att krascha SSL VPN-brandväggar

Cisco har släppt säkerhetsuppdateringar för en allvarlig överbelastningssårbarhet i programvaran Adaptive Security Appliance (ASA) och Threat Defense (FTD). Angripare har utnyttjat sårbarheten för att på distans få sårbara brandväggsenheter att starta om.

Sårbarheten, som spåras som CVE-2026-76418, påverkar enheter med konfigurationer som innehåller nyckelordet ”webvpn” och där SSL VPN är aktiverat på minst ett gränssnitt. Cisco uppger att sårbarheten beror på logikfel när sekundär autentisering är konfigurerad för en tunnelgrupp. En obehörig angripare på distans kan skicka en manipulerad begäran vid anslutning till SSL VPN för fjärråtkomst. Det kan få enheten att starta om och orsaka ett överbelastningstillstånd.

Ciscos Product Security Incident Response Team upptäckte tecken på aktiv exploatering i oktober 2026. Företaget har inte lämnat indikatorer på intrång eller uppgifter om måltavlorna eller angriparna. Cisco rekommenderar att kunder uppgraderar till en korrigerad programvaruversion. Företaget har inte angett någon lösning, men administratörer som inte kan installera uppdateringen direkt kan begränsa problemet genom att inaktivera sekundär autentisering i den förvalda tunnelgruppen DefaultWEBVPNGroup eller i en användarkonfigurerad lista över tunnelgrupper.

Enligt källan bevakar Shadowserver mer än 51 000 Cisco ASA SSL VPN-enheter som är exponerade på nätet. Siffran visar inte hur många som har säkrats eller är honeypots.