Ing. Calogero Bono
Cisco hat Updates für eine Denial-of-Service-Schwachstelle in den Softwareprodukten Secure Firewall ASA und Secure Firewall Threat Defense (FTD) veröffentlicht. Laut Cisco wird die Lücke bereits ausgenutzt, denn das eigene Sicherheitsteam hat im Oktober 2026 aktive Angriffe festgestellt. Ein Angreifer ohne Zugangsdaten kann die Firewall aus der Ferne neu starten lassen. Läuft dein Fernzugriff darüber, bedeutet ein erzwungener Neustart Büros und Homeoffice ohne VPN.
Ein paar Begriffe vorab, bevor es um die Fakten geht. Ein Zero-Day ist eine Lücke, die ausgenutzt wird, bevor es eine Korrektur gibt. DoS (Denial of Service) bezeichnet einen Angriff, der einen Dienst unerreichbar macht. Eine SSL-VPN ist der verschlüsselte Tunnel, über den man von außen auf das Firmennetz zugreift. Eine Tunnel-Group ist das Verbindungsprofil, das auf der Firewall konfiguriert wird. Die sekundäre Authentifizierung ist eine zweite Identitätsprüfung, die in diesem Profil verlangt wird.
Was ist passiert?
Laut der offiziellen Warnung von Cisco liegt das Problem im Dienst Remote Access SSL VPN. Ursache sind Logikfehler, wenn die sekundäre Authentifizierung auf einer Tunnel-Group eingerichtet ist. Es genügt eine eigens gebaute Anfrage während des Verbindungsaufbaus zur SSL-VPN, und das Gerät startet neu.
Die Schwachstelle läuft unter der Bezeichnung CVE-2026-76418. The Hacker News nennt einen CVSS-Wert von 8.6, während BleepingComputer sie als hochgradig einstuft. Ein Detail wiegt schwerer als die anderen. Cisco schreibt, dass man für den verwundbaren Punkt keinen erfolgreichen VPN-Login braucht.
Welche Geräte sind verwundbar?
Nicht jede Cisco-Firewall ist gefährdet. Cisco nennt drei Bedingungen, die gleichzeitig erfüllt sein müssen.
- Das Gerät läuft mit einer verwundbaren Version von ASA oder FTD.
- Der Anmeldedienst der SSL-VPN ist erreichbar.
- Die sekundäre Authentifizierung ist in der Tunnel-Group eingerichtet.
So prüfst du die Konfiguration
Steht in der Konfiguration das Schlüsselwort webvpn und ist die SSL-VPN auf mindestens einer Schnittstelle aktiv, ist die Konfiguration exponiert. Danach prüfst du die Tunnel-Groups auf den Eintrag secondary-authentication-server-group. Ist tunnel-group-list enable gesetzt, musst du alle prüfen, auch DefaultWEBVPNGroup. Fehlt der Eintrag oder wurde er entfernt, solltest du trotzdem die Standardgruppe kontrollieren, denn das Deaktivieren der Liste beseitigt die Angriffsfläche nicht, wenn diese Gruppe die sekundäre Authentifizierung nutzt. Bei FTD schaust du in die Richtlinie für den Fernzugriff in FMC oder FDM.
Cisco stellt klar, dass Cloud-delivered Firewall, cdFMC, Secure Access und Secure FMC Software nicht betroffen sind.
Welche Versionen beheben das Problem?
Cisco hat die Updates bereitgestellt. Hier ist die jeweils erste korrigierte Version pro Zweig.
- ASA 9.16 und älter, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 und 9.24.10.1
- FTD 7.0 und älter, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Echte Workarounds gibt es nicht. Es existiert aber eine vorübergehende Entschärfung. Nutzt DefaultWEBVPNGroup keine sekundäre Authentifizierung, deaktivierst du die Liste der Tunnel-Groups mit no tunnel-group-list enable. Nutzt sie diese, entfernst du sie mit no secondary-authentication-server-group, doch Cisco warnt, dass die Sicherheit des Fernzugriffs dadurch sinkt. Cisco empfiehlt trotzdem das Update.
Der Kontext der anderen Angriffe auf Cisco
Laut BleepingComputer ist das kein Einzelfall. Im September des vergangenen Jahres hat Cisco CVE-2025-20362 und CVE-2025-20333 geschlossen, die als Zero-Days auf Geräten der Serie 5500-X ausgenutzt wurden. Am selben Tag erließ die US-Behörde CISA die Emergency Directive 25-03 mit 24 Stunden Frist für die Bundesbehörden. Cisco brachte diese Angriffe mit der Kampagne ArcaneDoor in Verbindung.
Das Magazin erinnert außerdem an einen weiteren DoS-Zero-Day, CVE-2026-20349, der im August geschlossen wurde, sowie an eine Lücke im Secure Email Gateway (CVE-2026-76519), die im selben Monat behoben wurde. Seit November 2021 hat die CISA 101 ausgenutzte Cisco-Lücken gemeldet, davon sieben auch durch Ransomware-Gruppen.
Grenzen, die du kennen solltest
Es fehlen viele Daten. Cisco hat keine Indicators of Compromise veröffentlicht und nicht gesagt, wer angreift, wer betroffen ist oder seit wann die Angriffe laufen. Das Ausmaß der Aktivität ist deshalb unbekannt.
Laut BleepingComputer verfolgt Shadowserver mehr als 51.000 ASA-Geräte mit öffentlich erreichbarer SSL-VPN. Ob sie schon aktualisiert wurden oder Honeypots sind, bleibt offen, daher ist das nicht die Zahl der verwundbaren Geräte. Die Entschärfung hat Cisco zudem nur in Testumgebungen geprüft und sie muss im eigenen Umfeld bewertet werden.
Was das für Leute im digitalen Alltag bedeutet
Für ein kleines Unternehmen mit Cisco-Firewall bedeutet das vor allem den Ausfall des Fernzugriffs, nicht zwingend Datendiebstahl. Der Schaden ist trotzdem real, denn wer von zu Hause oder von der Baustelle arbeitet, ist ausgesperrt. Hat dein Dienstleister die Firewall im Griff, frag ihn heute nach der installierten Version und ob die sekundäre Authentifizierung aktiv ist.
Für alle, die Infrastruktur betreiben, liegt die Lehre im Perimeter. Ein exponierter Fernzugriff muss wie ein kritischer Dienst behandelt werden, mit Inventar, festen Update-Fenstern und Monitoring. Zum Thema Zugänge hilft unser Beitrag zur VPN für Smart Working, um die grundlegenden Entscheidungen zu durchdenken. Und für Server, die du ins Netz stellst, sind unsere verwalteten Server mit Sicherheitsupdates genau dafür gemacht, solchen Warnungen nicht hinterherlaufen zu müssen.
Unsere Einschätzung
Der Fall hat eine ironische Seite. Die sekundäre Authentifizierung ist eine Sicherheitsmaßnahme, und ausgerechnet ihre Konfiguration öffnet die Tür für den Absturz des Geräts. Die Entschärfung rät dazu, sie zu entfernen, und das stellt Administratoren vor eine unbequeme Wahl zwischen Verfügbarkeit und Schutz.
Kritisch sehen wir den Mangel an Informationen. Wenn bekannt ist, dass eine Lücke ausgenutzt wird, aber keine Indicators of Compromise vorliegen, tappen Verteidiger im Dunkeln. Man kann die Logs nicht gezielt nach Spuren durchsuchen. Deshalb ist der einzig sinnvolle Weg, sofort zu aktualisieren, ohne auf Details zu warten, die vielleicht nie kommen.
Häufige Fragen
Erlaubt die Lücke das Stehlen von Daten?
Nach den Quellen nicht. Cisco beschreibt nur einen unerwarteten Neustart des Geräts, also einen Denial of Service. Es gibt keinen Hinweis darauf, dass über diese Schwachstelle auf Daten zugegriffen wird.
Braucht man ein VPN-Konto, um sie auszunutzen?
Nein. Der Angreifer ist nicht authentifiziert und arbeitet aus der Ferne. Cisco betont, dass man für den verwundbaren Punkt keinen erfolgreichen VPN-Login braucht.
Gibt es eine Lösung, wenn ich nicht sofort aktualisieren kann?
Nur eine vorübergehende. Man deaktiviert die sekundäre Authentifizierung auf den Tunnel-Groups oder, falls die Standardgruppe sie nicht nutzt, die Liste der Tunnel-Groups. Cisco weist darauf hin, dass dies eine provisorische Maßnahme ist und die Sicherheit senken kann.
Wie schwerwiegend ist die Schwachstelle?
Hoch. The Hacker News nennt einen CVSS-Wert von 8.6. Cisco bestätigt die aktive Ausnutzung.
Wie finde ich heraus, ob meine Version betroffen ist?
Vergleiche deine Version mit der Tabelle der Updates in der Warnung. Cisco bietet außerdem den Cisco Software Checker an, der die Warnungen zu einer bestimmten Version anzeigt.
Was in den nächsten Wochen zu beobachten ist
Offen bleiben die Informationen zu den Angriffen und zu ihrem Umfang. In der Zwischenzeit kannst du an drei Punkten ansetzen.
- Prüfe Version und Konfiguration der Firewall und plane das Update auf die korrigierte Version noch heute.
- Musst du warten, kläre die Entschärfung mit deinem Dienstleister und behalte im Blick, welche Sicherheit du dabei verlierst.
- Verfolge die Cisco-Warnung auf neue Indicators of Compromise und Aktualisierungen.
