Ing. Calogero Bono
Cisco telah merilis pembaruan untuk kerentanan denial of service pada perangkat lunak Secure Firewall ASA dan Secure Firewall Threat Defense (FTD). Menurut Cisco, celah ini sudah dieksploitasi, karena tim keamanannya mendeteksi penggunaan aktif pada Oktober 2026. Penyerang tanpa kredensial dapat membuat firewall restart dari jarak jauh. Jika akses remote kamu melewati perangkat itu, restart paksa berarti kantor dan kerja dari rumah tanpa VPN.
Beberapa istilah sebelum masuk ke faktanya. Zero-day adalah celah yang dieksploitasi sebelum ada perbaikannya. DoS (denial of service) adalah serangan yang membuat layanan tidak bisa diakses. VPN SSL adalah terowongan terenkripsi untuk mengakses jaringan perusahaan dari luar. Tunnel group adalah profil koneksi yang dikonfigurasi di firewall. Autentikasi sekunder adalah pemeriksaan identitas kedua yang diminta pada profil tersebut.
Apa yang terjadi?
Menurut avisory resmi Cisco, masalahnya ada pada layanan Remote Access SSL VPN. Penyebabnya adalah kesalahan logika saat autentikasi sekunder dikonfigurasi pada tunnel group. Cukup mengirim permintaan yang dibuat khusus saat koneksi ke VPN SSL, dan perangkat akan restart.
Kerentanan ini dilacak sebagai CVE-2026-76418. The Hacker News melaporkan skor CVSS 8.6, sementara BleepingComputer menilainya berisiko tinggi. Ada satu detail yang paling penting. Cisco menulis bahwa untuk mencapai titik yang rentan, tidak diperlukan login VPN yang berhasil.
Perangkat mana yang rentan?
Tidak semua firewall Cisco berisiko. Cisco menyebutkan tiga kondisi yang harus terpenuhi bersamaan.
- Perangkat menjalankan rilis ASA atau FTD yang rentan.
- Layanan login VPN SSL dapat dijangkau.
- Autentikasi sekunder dikonfigurasi pada tunnel group.
Cara memeriksa konfigurasi
Jika dalam konfigurasi ada kata kunci webvpn dan VPN SSL aktif pada setidaknya satu antarmuka, konfigurasinya terbuka. Selanjutnya periksa tunnel group untuk baris secondary-authentication-server-group. Jika tunnel-group-list enable ada, periksa semuanya, termasuk DefaultWEBVPNGroup. Jika tidak ada atau sudah dihapus, tetap periksa grup default, karena menonaktifkan daftar tidak menghilangkan keterpaparan jika grup itu memakai autentikasi sekunder. Pada FTD, lihat kebijakan akses remote di FMC atau FDM.
Cisco menegaskan bahwa Cloud-delivered Firewall, cdFMC, Secure Access, dan Secure FMC Software tidak terdampak.
Versi mana yang memperbaiki masalah?
Cisco sudah merilis pembaruan. Ini adalah rilis perbaikan pertama untuk setiap cabang.
- ASA 9.16 dan sebelumnya, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 dan 9.24.10.1
- FTD 7.0 dan sebelumnya, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Tidak ada workaround yang benar-benar tuntas. Namun ada mitigasi sementara. Jika DefaultWEBVPNGroup tidak memakai autentikasi sekunder, nonaktifkan daftar tunnel group dengan no tunnel-group-list enable. Jika memakainya, hapus dengan no secondary-authentication-server-group, tetapi Cisco memperingatkan bahwa keamanan akses remote akan menurun. Cisco tetap merekomendasikan pembaruan.
Konteks serangan lain ke Cisco
Menurut BleepingComputer, kasus ini bukan yang pertama. Pada September tahun lalu Cisco memperbaiki CVE-2025-20362 dan CVE-2025-20333, yang dieksploitasi sebagai zero-day pada perangkat seri 5500-X. Di hari yang sama, CISA Amerika Serikat mengeluarkan Emergency Directive 25-03, dengan batas waktu 24 jam bagi instansi federal. Cisco mengaitkan serangan itu dengan kampanye ArcaneDoor.
Media tersebut juga mengingatkan tentang zero-day DoS lain, CVE-2026-20349, yang diperbaiki pada Agustus, dan satu celah di Secure Email Gateway (CVE-2026-76519) yang diperbaiki di bulan yang sama. Sejak November 2021, CISA telah mencatat 101 celah Cisco yang dieksploitasi, dan tujuh di antaranya juga digunakan oleh kelompok ransomware.
Batasan yang perlu kamu ketahui
Banyak data yang belum tersedia. Cisco tidak memberikan indikator kompromi dan tidak menyebutkan siapa penyerangnya, siapa yang terdampak, atau kapan serangan dimulai. Jadi skala aktivitasnya belum diketahui.
Menurut BleepingComputer, Shadowserver melacak lebih dari 51.000 perangkat ASA dengan VPN SSL yang terbuka di internet. Angka ini tidak menyebutkan berapa yang sudah diperbarui atau berapa yang berupa honeypot, sehingga bukan jumlah perangkat yang rentan. Mitigasinya sendiri telah diuji Cisco di lingkungan uji, dan perlu dinilai sesuai konteks masing-masing.
Dampaknya bagi yang bekerja dengan digital
Bagi perusahaan kecil dengan firewall Cisco, dampak praktisnya adalah terputusnya akses remote, belum tentu pencurian data. Kerugiannya tetap ada, karena karyawan yang bekerja dari rumah atau lokasi proyek tidak bisa masuk. Jika ada penyedia yang mengelola firewall kamu, tanyakan hari ini versi yang terpasang dan apakah autentikasi sekunder aktif.
Bagi yang mengelola infrastruktur, pelajarannya ada pada perimeter. Akses remote yang terbuka harus diperlakukan sebagai layanan kritis, dengan inventaris, jadwal pembaruan, dan pemantauan. Untuk topik akses, artikel kami tentang VPN untuk smart working membantu memahami pilihan dasarnya. Dan untuk server yang kamu buka ke internet, server terkelola dengan pembaruan keamanan kami ada justru agar kamu tidak perlu mengejar peringatan seperti ini.
Pendapat kami
Kasus ini punya sisi ironis. Autentikasi sekunder adalah langkah keamanan, dan justru konfigurasinya yang membuka pintu bagi terhentinya perangkat. Mitigasinya menyarankan untuk menghapusnya, dan ini menempatkan administrator pada pilihan yang tidak enak antara ketersediaan dan perlindungan.
Kami mengkritik minimnya informasi. Mengetahui bahwa seseorang mengeksploitasi celah tanpa indikator kompromi membuat tim pertahanan buta. Kita tidak bisa memeriksa log untuk mencari jejak tertentu. Karena itu, satu-satunya langkah yang masuk akal adalah memperbarui sekarang, tanpa menunggu detail yang mungkin tidak akan datang.
Pertanyaan yang sering diajukan
Apakah celah ini memungkinkan pencurian data?
Dari sumber yang ada, tidak. Cisco hanya menjelaskan restart perangkat yang tidak terduga, yaitu denial of service. Tidak ada indikasi akses data melalui kerentanan ini.
Apakah perlu akun VPN untuk mengeksploitasinya?
Tidak. Penyerang tidak perlu autentikasi dan bisa melakukannya dari jarak jauh. Cisco menegaskan bahwa login VPN yang berhasil tidak diperlukan untuk mencapai titik yang rentan.
Adakah solusi jika aku belum bisa memperbarui sekarang?
Hanya sementara. Nonaktifkan autentikasi sekunder pada tunnel group atau, jika grup default tidak memakainya, nonaktifkan daftar tunnel group. Cisco mengingatkan bahwa ini langkah sementara dan dapat menurunkan keamanan.
Seberapa parah kerentanan ini?
Tingkat keparahannya tinggi. The Hacker News melaporkan CVSS 8.6. Cisco mengonfirmasi adanya eksploitasi aktif.
Bagaimana cara mengetahui apakah versiku terdampak?
Bandingkan rilis yang kamu gunakan dengan tabel pembaruan di avisory. Cisco juga menyediakan Cisco Software Checker, yang menampilkan avisory untuk versi tertentu.
Yang perlu dipantau dalam beberapa minggu ke depan
Informasi tentang serangan dan skalanya masih terbuka. Sementara itu, kamu bisa bergerak di tiga hal.
- Periksa versi dan konfigurasi firewall, lalu segera rencanakan pembaruan ke rilis yang sudah diperbaiki.
- Jika harus menunggu, pertimbangkan mitigasinya bersama penyedia kamu, dengan memahami keamanan apa yang hilang.
- Pantau avisory Cisco untuk indikator kompromi dan pembaruan lainnya.
