Cisco ASA-lek actief misbruikt: vpn-firewalls crashen
Cisco heeft op 28 oktober een update uitgebracht voor een lek in de Remote Access SSL VPN van Secure Firewall ASA en Secure Firewall Threat Defense (FTD). Het lek wordt actief misbruikt: het Product Security Incident Response Team van Cisco constateerde in oktober misbruik in het wild. Dat staat in de advisory van het bedrijf.
Wat het lek doet
De kwetsbaarheid heeft kenmerk CVE-2026-76418 en een CVSS-score van 8.6. Een niet-geauthenticeerde aanvaller kan op afstand een speciaal opgebouwd verzoek sturen bij het opzetten van een SSL-vpn-verbinding, waarna het apparaat onverwacht herstart. Het gevolg is een denial of service: de firewall is weg, en daarmee ook de vpn-toegang van alle thuiswerkers erachter.
De oorzaak zit in logicafouten op het moment dat secondary authentication op een tunnel group is geconfigureerd. Een geslaagde vpn-login is niet nodig om de kwetsbare code te raken, meldt Cisco. Het lek is gevonden door Eric Fernald, tijdens het afhandelen van een supportzaak bij de Cisco TAC. Cisco heeft geen indicatoren van compromittering gepubliceerd en zegt verder niets over wie er achter de aanvallen zit of welke organisaties doelwit zijn.
Wie is kwetsbaar
Cisco noemt twee voorwaarden. Ten eerste moet de running config het sleutelwoord webvpn bevatten en moet SSL VPN op minstens één interface aanstaan. Ten tweede moet er secondary authentication geconfigureerd zijn in de tunnel group.
Die tweede check is lastiger dan hij klinkt. Staat tunnel-group-list enable aan, dan moet je álle tunnel groups nalopen op secondary-authentication-server-group, inclusief de standaardgroep DefaultWEBVPNGroup — ook de profielen die niet in de lijst op de loginpagina staan. En is die lijst juist uitgezet, dan moet je DefaultWEBVPNGroup nog steeds controleren, want het uitschakelen van de groepslijst haalt de blootstelling via die standaardgroep niet weg. Op FTD bekijk je het remote access vpn-beleid en de resulterende running config via Secure Firewall Management Center of Device Manager.
Niet kwetsbaar zijn volgens Cisco de Cloud-delivered Firewall, cdFMC, Secure Access en Secure FMC Software zelf.
Om een idee te geven van de omvang: BleepingComputer wijst erop dat Shadowserver wereldwijd ruim 51.000 Cisco ASA SSL VPN-apparaten vanaf internet bereikbaar ziet. Hoeveel daarvan al bijgewerkt zijn, is niet bekend.
Ook los daarvan ASA-werk deze week
Het NCSC had bij het schrijven van dit bericht nog geen advisory over deze CVE. Wel verscheen een dag eerder NCSC-2026-0458, over een losse reeks van acht kwetsbaarheden in ASA, FTD en Management Center (CVE-2026-20329 tot en met CVE-2026-20336). Vier daarvan hebben een CVSS-score van 9.0 of hoger. Wie deze week toch aan zijn ASA-omgeving zit, heeft dus twee dingen op het bord.
Wat je nu kunt doen
- Patchen. Voor ASA zijn de eerste herstelde versies 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 en 9.24.1.27 of 9.24.10.1. Voor FTD zijn dat 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 en 10.1.1.
- Weet je niet welke versie je nodig hebt, gebruik dan de Cisco Software Checker, waarin je per release ziet wat de eerste herstelde versie is.
- Kun je niet direct patchen, dan is er geen workaround, maar wel een mitigatie: zet secondary authentication uit op de zelf geconfigureerde tunnel groups of op
DefaultWEBVPNGroup. Cisco beschrijft in de advisory twee gevallen, afhankelijk van of die standaardgroep zelf secondary authentication gebruikt. Houd er rekening mee dat gebruikers daarna geen connection profile meer kunnen kiezen bij het inloggen.