Cisco ASA e FTD CVE-2026-76418: zero-day sfruttato per riavviare i firewall dalla VPN SSL, senza credenziali

Con una richiesta costruita ad arte, inviata al servizio Remote Access SSL VPN, un attaccante remoto e non autenticato fa riavviare un firewall Cisco Secure Firewall ASA o Secure Firewall Threat Defense (FTD). È la CVE-2026-76418, un denial of service con CVSS 8.6 che Cisco ha reso pubblico il 28 ottobre 2026 con l'advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75, dichiarando lo sfruttamento attivo come zero-day. La causa sono errori logici nella gestione dell'autenticazione secondaria quando è configurata in un tunnel group, cioè in un profilo di connessione della VPN, e per raggiungere il codice vulnerabile non serve completare l'accesso. Cisco la classifica come CWE-690, una dereferenziazione di puntatore nullo dovuta a un valore di ritorno non controllato, la stessa categoria con cui la CISA l'ha inserita il 29 ottobre nel catalogo KEV, fissando il termine di remediation per le agenzie federali al 1° novembre. Lo stesso 29 ottobre ACN ha pubblicato il proprio alert sullo sfruttamento in rete. Non si rubano credenziali e non si esegue codice: si spegne, per il tempo del riavvio, il dispositivo che di solito regge sia il perimetro sia gli accessi remoti.

Secondo l'advisory, il PSIRT di Cisco ha avuto notizia dello sfruttamento nel corso di ottobre; l'azienda non ha diffuso indicatori di compromissione né informazioni su chi conduca gli attacchi o su quali organizzazioni siano state colpite, come ha rilevato BleepingComputer. La falla è emersa durante la gestione di una richiesta di assistenza al Technical Assistance Center di Cisco ed è accreditata a Eric Fernald; secondo SecurityOnline non circola un exploit pubblico. Il bacino è ampio: BleepingComputer riporta che Shadowserver conta oltre 51.000 dispositivi Cisco ASA con VPN SSL esposti su Internet, senza distinguere quelli già aggiornati. Per le stesse piattaforme è il secondo denial of service sfruttato come zero-day nel 2026, dopo la CVE-2026-20349 corretta ad agosto, che faceva riavviare i firewall con i socket SSL in ascolto. Sugli stessi apparati la campagna ArcaneDoor era andata molto oltre il riavvio, sfruttando due zero-day per installare backdoor persistenti, come raccontato in un nostro precedente alert del 24 aprile sulle CVE-2025-20333 e CVE-2025-20362 di Cisco ASA e FTD sfruttate da ArcaneDoor: gli attaccanti che conoscono a fondo questi dispositivi non sono una novità, e un firewall che si riavvia a comando è un problema anche quando non si capisce ancora a cosa serva.

Se ne devono preoccupare le organizzazioni, pubbliche amministrazioni comprese, che pubblicano l'accesso VPN dei dipendenti su un ASA o un FTD e hanno attivato l'autenticazione secondaria, cioè la doppia autenticazione su due server distinti, una delle modalità con cui si aggiunge un secondo fattore all'accesso remoto. Le due condizioni devono coesistere: VPN SSL abilitata su almeno un'interfaccia e un server di autenticazione secondaria configurato in almeno un profilo di connessione. Cisco precisa che vanno controllati tutti i profili, anche quelli che non compaiono nell'elenco della pagina di login, e sempre il profilo predefinito DefaultWEBVPNGroup: nascondere l'elenco dei profili non elimina l'esposizione se è il profilo predefinito a usare l'autenticazione secondaria. Sugli FTD la verifica si fa sulla policy VPN distribuita da Secure Firewall Management Center o Device Manager. Non sono affetti Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC. Cisco non indica soluzioni alternative alla patch, solo una mitigazione temporanea che abbassa il livello di sicurezza dell'accesso remoto.

• Versioni affette: Cisco Secure Firewall ASA Software con VPN SSL ad accesso remoto e autenticazione secondaria configurata, versioni precedenti a 9.16.4.104 (rami 9.16 e precedenti), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 e 9.24.10.1 (ramo 9.24.10); Cisco Secure FTD Software nella stessa configurazione, versioni precedenti a 7.0.11 (rami 7.0 e precedenti), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 e 10.1.1.
• Azione raccomandata: verificare se la VPN SSL è abilitata e se un profilo di connessione, compreso DefaultWEBVPNGroup, usa un server di autenticazione secondaria; in caso affermativo aggiornare con priorità alla prima release corretta del proprio ramo indicata nell'advisory, aiutandosi con il Cisco Software Checker; se l'aggiornamento non è immediato, applicare la mitigazione indicata da Cisco, che consiste nel disattivare l'elenco dei profili nella pagina di login quando il profilo predefinito non usa l'autenticazione secondaria, oppure nel togliere l'autenticazione secondaria dal profilo predefinito, valutando prima l'effetto sulla sicurezza dell'accesso remoto; tenere sotto controllo i riavvii inattesi dei firewall e segnalarli come possibile sfruttamento.

Fonti: ACN, Cisco, CISA, BleepingComputer, SecurityOnline