Ing. Calogero Bono
Cisco ने Secure Firewall ASA और Secure Firewall Threat Defense (FTD) सॉफ़्टवेयर में एक denial of service कमज़ोरी के लिए अपडेट जारी किए हैं। Cisco के अनुसार यह falla पहले से exploit हो रही है, क्योंकि उसकी security team ने अक्टूबर 2026 में इसका सक्रिय इस्तेमाल पकड़ा था। बिना credentials वाला हमलावर दूर से firewall को restart करा सकता है। अगर आपकी remote access इसी से होती है, तो अचानक restart का मतलब है दफ़्तर और work from home दोनों बिना VPN के।
कुछ शब्द पहले समझ लें। एक zero-day वह falla है जिसका इस्तेमाल तब हो जाता है जब उसका कोई fix मौजूद नहीं होता। DoS (denial of service) ऐसे हमले को कहते हैं जो किसी सेवा को उपलब्ध नहीं होने देता। VPN SSL वह encrypted tunnel है जिससे बाहर से कंपनी के नेटवर्क तक पहुँचा जाता है। tunnel group firewall पर बना connection profile है। autenticazione secondaria उस profile में माँगी जाने वाली identity की दूसरी जाँच है।
क्या हुआ है?
Cisco की आधिकारिक सुरक्षा चेतावनी के मुताबिक समस्या Remote Access SSL VPN सेवा में है। कारण है tunnel group पर autenticazione secondaria सेट होने पर होने वाली logic की गलतियाँ। VPN SSL connection के दौरान एक खास तरह से बनाया गया request भेजना काफ़ी है, और device restart हो जाता है।
इस कमज़ोरी का नाम CVE-2026-76418 है। The Hacker News ने CVSS स्कोर 8.6 बताया है, जबकि BleepingComputer इसे उच्च गंभीरता वाला बताता है। एक बात और अहम है। Cisco कहता है कि कमज़ोर बिंदु तक पहुँचने के लिए सफल VPN login की ज़रूरत नहीं है।
कौन से devices असुरक्षित हैं?
सारे Cisco firewall खतरे में नहीं हैं। Cisco तीन शर्तें बताता है जो एक साथ सही होनी चाहिए।
- Device पर कमज़ोर ASA या FTD release चल रही हो।
- VPN SSL का login service पहुँच योग्य हो।
- Tunnel group में autenticazione secondaria सेट हो।
configuration कैसे जाँचें
अगर configuration में webvpn शब्द है और VPN SSL कम से कम एक interface पर चालू है, तो configuration खुली है। फिर tunnel group में secondary-authentication-server-group की प्रविष्टि देखें। अगर tunnel-group-list enable मौजूद है, तो सारे groups जाँचें, DefaultWEBVPNGroup समेत। अगर यह मौजूद नहीं है या हटा दिया गया है, तब भी default group जाँचें, क्योंकि list बंद करने से खतरा खत्म नहीं होता अगर वह group autenticazione secondaria इस्तेमाल करता है। FTD पर FMC या FDM में remote access policy देखें।
Cisco स्पष्ट करता है कि Cloud-delivered Firewall, cdFMC, Secure Access और Secure FMC Software प्रभावित नहीं हैं।
कौन सी versions यह समस्या ठीक करती हैं?
Cisco ने अपडेट जारी कर दिए हैं। हर branch के लिए पहली ठीक की गई release यह है।
- ASA 9.16 और उससे पहले, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 और 9.24.10.1
- FTD 7.0 और उससे पहले, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
असली workaround नहीं है, पर एक अस्थायी उपाय है। अगर DefaultWEBVPNGroup autenticazione secondaria इस्तेमाल नहीं करता, तो no tunnel-group-list enable से tunnel group list बंद की जा सकती है। अगर वह इसे इस्तेमाल करता है, तो no secondary-authentication-server-group से हटाया जा सकता है, लेकिन Cisco चेतावनी देता है कि इससे remote access की सुरक्षा घटती है। फिर भी Cisco अपडेट की ही सलाह देता है।
Cisco पर हुए अन्य हमलों का संदर्भ
BleepingComputer के अनुसार यह कोई अकेला मामला नहीं है। पिछले साल सितंबर में Cisco ने CVE-2025-20362 और CVE-2025-20333 ठीक किए, जो 5500-X सीरीज़ के devices पर zero-day के रूप में exploit हुए थे। उसी दिन अमेरिकी CISA ने Emergency Directive 25-03 जारी किया, जिसमें संघीय एजेंसियों को 24 घंटे दिए गए। Cisco ने वे हमले ArcaneDoor अभियान से जोड़े।
यह समाचार पत्र एक और DoS zero-day, CVE-2026-20349 का भी ज़िक्र करता है, जो अगस्त में ठीक हुआ था, और Secure Email Gateway की एक कमज़ोरी (CVE-2026-76519) जो उसी महीने ठीक की गई। नवंबर 2021 से CISA ने Cisco की 101 exploit हो रही falla दर्ज की हैं, जिनमें से सात ransomware समूहों ने भी इस्तेमाल कीं।
ध्यान रखने योग्य सीमाएँ
कई जानकारियाँ अभी नहीं हैं। Cisco ने कोई indicators of compromise नहीं दिए, न यह बताया कि हमलावर कौन है, कौन निशाने पर है, या हमले कब शुरू हुए। इसलिए गतिविधि का पैमाना हम नहीं जानते।
BleepingComputer के मुताबिक Shadowserver ने इंटरनेट पर खुले 51,000 से ज़्यादा ASA VPN SSL devices दर्ज किए हैं। यह नहीं बताया गया कि इनमें से कितने पहले से अपडेट हैं या honeypot हैं, इसलिए यह कमज़ोर devices की संख्या नहीं है। और अस्थायी उपाय Cisco ने test environment में जाँचा है, इसे अपने संदर्भ में परखना ज़रूरी है।
डिजिटल काम करने वालों के लिए क्या बदलता है
Cisco firewall वाली छोटी कंपनी के लिए असली असर remote access का रुक जाना है, ज़रूरी नहीं कि डेटा चोरी हो। फिर भी नुकसान होता है, क्योंकि घर या साइट से काम करने वाले लोग बाहर रह जाते हैं। अगर आपका कोई vendor आपका firewall संभालता है, तो आज ही उससे installed version और autenticazione secondaria के सक्रिय होने के बारे में पूछें।
इंफ़्रास्ट्रक्चर संभालने वालों के लिए सबक perimeter का है। खुली remote access को critical सेवा की तरह देखें, जिसमें inventory, अपडेट की तय खिड़कियाँ और monitoring हो। एक्सेस के विषय पर हमारा लेख VPN for smart working बुनियादी चुनाव समझने में मदद करता है। और जो servers आप इंटरनेट पर चलाते हैं, उनके लिए हमारे सुरक्षा अपडेट वाले managed servers इसी तरह की चेतावनियों के पीछे भागने से बचाने के लिए बने हैं।
हमारी राय
इस मामले में एक विडंबना है। autenticazione secondaria एक सुरक्षा उपाय है, और ठीक उसकी configuration ही device के बंद होने का रास्ता खोलती है। अस्थायी उपाय उसे हटाने को कहता है, और इससे administrator एक असहज चुनाव के सामने आ जाता है – उपलब्धता या सुरक्षा।
हम जानकारी की कमी पर सवाल उठाते हैं। यह जानना कि कोई falla exploit हो रही है, पर indicators of compromise न होना, रक्षकों को अंधेरे में छोड़ देता है। सटीक निशानों के लिए logs जाँचना संभव नहीं। इसलिए सबसे समझदार रास्ता है कि अभी अपडेट करें, उन विवरणों का इंतज़ार किए बिना जो शायद कभी न आएँ।
अक्सर पूछे जाने वाले सवाल
क्या इस falla से डेटा चोरी हो सकता है?
स्रोतों के अनुसार नहीं। Cisco केवल device के अचानक restart की बात करता है, यानी एक denial of service। इस कमज़ोरी से डेटा तक पहुँच का कोई संकेत नहीं है।
इसे exploit करने के लिए VPN account चाहिए?
नहीं। हमलावर बिना authentication के और दूर से हमला करता है। Cisco स्पष्ट करता है कि कमज़ोर बिंदु तक पहुँचने के लिए सफल VPN login ज़रूरी नहीं है।
अगर अभी अपडेट नहीं कर सकता तो क्या करूँ?
सिर्फ़ अस्थायी उपाय है। tunnel group पर autenticazione secondaria बंद करें, या अगर default group उसका इस्तेमाल नहीं करता तो tunnel group list बंद करें। Cisco याद दिलाता है कि यह अस्थायी कदम है और इससे सुरक्षा घट सकती है।
यह कमज़ोरी कितनी गंभीर है?
उच्च गंभीरता वाली। The Hacker News ने CVSS 8.6 बताया है। Cisco सक्रिय exploit की पुष्टि करता है।
कैसे पता करूँ कि मेरी version असुरक्षित है?
अपनी release को चेतावनी के अपडेट वाले table से मिलाएँ। Cisco का Cisco Software Checker भी उपलब्ध है, जो किसी खास version से जुड़ी चेतावनियाँ दिखाता है।
अगले कुछ हफ़्तों में क्या देखें
हमलों और उनके पैमाने की जानकारी अभी खुली है। फिर भी आप तीन काम कर सकते हैं।
- Firewall की version और configuration जाँचें, और सही release पर अपडेट की योजना अभी बनाएँ।
- अगर इंतज़ार करना पड़े, तो अपने vendor के साथ अस्थायी उपाय पर विचार करें, और समझें कि सुरक्षा में क्या खो रहे हैं।
- indicators of compromise और अपडेट के लिए Cisco की चेतावनी पर नज़र रखें।
