Ing. Calogero Bono
Cisco ha pubblicato gli aggiornamenti per una vulnerabilità di tipo denial of service nei software Secure Firewall ASA e Secure Firewall Threat Defense (FTD). Secondo Cisco la falla è già sfruttata, perché il suo team di sicurezza ne ha rilevato l'uso attivo a ottobre 2026. Un attaccante senza credenziali può far riavviare il firewall da remoto. Se il tuo accesso remoto passa da lì, un riavvio forzato significa uffici e smart working senza VPN.
Qualche termine, prima di entrare nei fatti. Un zero-day è una falla sfruttata prima che esista una correzione. DoS (denial of service) indica un attacco che rende un servizio non disponibile. Una VPN SSL è il tunnel cifrato con cui si accede alla rete aziendale da fuori. Un tunnel group è il profilo di connessione configurato sul firewall. L'autenticazione secondaria è un secondo controllo di identità richiesto in quel profilo.
Che cosa è successo?
Secondo l'avviso ufficiale di Cisco, il problema è nel servizio Remote Access SSL VPN. La causa sono errori di logica quando l'autenticazione secondaria è configurata su un tunnel group. Basta inviare una richiesta costruita ad hoc durante la connessione alla VPN SSL perché il dispositivo si riavvii.
La vulnerabilità è tracciata come CVE-2026-76418. The Hacker News riporta un punteggio CVSS di 8.6, mentre BleepingComputer la definisce di gravità alta. Un dettaglio pesa più degli altri. Cisco scrive che per raggiungere il punto vulnerabile non serve un login VPN riuscito.
Quali dispositivi sono vulnerabili?
Non tutti i firewall Cisco sono a rischio. Cisco indica tre condizioni che devono valere insieme.
- Il dispositivo esegue una release vulnerabile di ASA o FTD.
- Il servizio di login della VPN SSL è raggiungibile.
- L'autenticazione secondaria è configurata nel tunnel group.
Come controllare la configurazione
Se nella configurazione compare la parola chiave webvpn e la VPN SSL è attiva su almeno un'interfaccia, la configurazione è esposta. Poi si controllano i tunnel group per la voce secondary-authentication-server-group. Se tunnel-group-list enable è presente, vanno controllati tutti, compreso DefaultWEBVPNGroup. Se manca, o è stato tolto, va controllato comunque il gruppo predefinito, perché disattivare l'elenco non elimina l'esposizione quando quel gruppo usa l'autenticazione secondaria. Su FTD si guarda la policy di accesso remoto in FMC o FDM.
Cisco precisa che non sono interessati Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC Software.
Quali versioni correggono il problema?
Cisco ha rilasciato gli aggiornamenti. Questa è la prima release corretta per ogni ramo.
- ASA 9.16 e precedenti, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 e 9.24.10.1
- FTD 7.0 e precedenti, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Non esistono workaround veri e propri. C'è però una mitigazione temporanea. Se DefaultWEBVPNGroup non usa l'autenticazione secondaria, si disattiva l'elenco dei tunnel group con no tunnel-group-list enable. Se la usa, si rimuove con no secondary-authentication-server-group, ma Cisco avverte che così la sicurezza dell'accesso remoto si abbassa. Cisco raccomanda comunque l'aggiornamento.
Il contesto degli altri attacchi a Cisco
Secondo BleepingComputer, questo non è un caso isolato. A settembre dello scorso anno Cisco ha corretto CVE-2025-20362 e CVE-2025-20333, sfruttate come zero-day su dispositivi serie 5500-X. Nello stesso giorno la CISA statunitense ha emesso la Emergency Directive 25-03, con 24 ore di tempo alle agenzie federali. Cisco ha collegato quegli attacchi alla campagna ArcaneDoor.
La testata ricorda anche un altro zero-day DoS, CVE-2026-20349, corretto ad agosto, e uno su Secure Email Gateway (CVE-2026-76519) sistemato nello stesso mese. Dal novembre 2021 la CISA ha segnalato 101 falle Cisco sfruttate, sette delle quali anche da gruppi ransomware.
Limiti da conoscere
Mancano molti dati. Cisco non ha fornito indicatori di compromissione e non ha detto chi attacca, chi viene colpito, né quando gli attacchi sono iniziati. Non sappiamo quindi la scala dell'attività.
Shadowserver, secondo BleepingComputer, traccia oltre 51.000 dispositivi ASA con VPN SSL esposti online. Non dice quanti siano già aggiornati o siano honeypot, quindi non è il numero dei dispositivi vulnerabili. La mitigazione, infine, è stata provata da Cisco in ambiente di test, e va valutata nel proprio contesto.
Cosa cambia per chi lavora con il digitale
Per una piccola azienda con firewall Cisco, l'effetto pratico è l'interruzione dell'accesso remoto, non per forza il furto di dati. Il danno comunque c'è, perché chi lavora da casa o da un cantiere resta fuori. Se hai un fornitore che gestisce il tuo firewall, chiedigli oggi la versione installata e se l'autenticazione secondaria è attiva.
Per chi gestisce infrastrutture, la lezione è sul perimetro. Un accesso remoto esposto va trattato come un servizio critico, con inventario, finestre di aggiornamento e monitoraggio. Sul tema accessi, il nostro approfondimento sulla VPN per lo smart working aiuta a ragionare sulle scelte di base. E per i server che esponi online, i nostri server gestiti con aggiornamenti di sicurezza esistono proprio per non rincorrere avvisi come questo.
Il nostro parere
Il caso ha un risvolto ironico. L'autenticazione secondaria è una misura di sicurezza, e proprio la sua configurazione apre la porta al blocco del dispositivo. La mitigazione consiglia di toglierla, e questo mette l'amministratore davanti a una scelta scomoda tra disponibilità e protezione.
Critichiamo la scarsità di informazioni. Sapere che qualcuno sfrutta una falla senza avere indicatori di compromissione lascia i difensori ciechi. Non possiamo controllare i log cercando tracce precise. Per questo l'unica strada sensata è aggiornare subito, senza attendere dettagli che potrebbero non arrivare.
Domande frequenti
La falla permette di rubare dati?
Dalle fonti no. Cisco descrive solo un riavvio imprevisto del dispositivo, cioè un denial of service. Non c'è alcuna indicazione di accesso ai dati tramite questa vulnerabilità.
Serve un account VPN per sfruttarla?
No. L'attaccante è non autenticato e remoto. Cisco precisa che non serve un login VPN riuscito per raggiungere il punto vulnerabile.
Esiste una soluzione se non posso aggiornare subito?
Solo temporanea. Si disattiva l'autenticazione secondaria sui tunnel group o, se il gruppo predefinito non la usa, l'elenco dei tunnel group. Cisco ricorda che è una misura provvisoria e che può ridurre la sicurezza.
Quanto è grave la vulnerabilità?
Alta gravità. The Hacker News riporta un CVSS di 8.6. Cisco conferma lo sfruttamento attivo.
Come scopro se la mia versione è esposta?
Confronta la release con la tabella degli aggiornamenti dell'avviso. Cisco mette a disposizione anche il Cisco Software Checker, che indica gli avvisi relativi a una specifica versione.
Cosa guardare nelle prossime settimane
Restano aperte le informazioni sugli attacchi e sulla loro scala. Intanto puoi muoverti su tre punti.
- Verifica versione e configurazione del firewall, e pianifica subito l'aggiornamento alla release corretta.
- Se devi aspettare, valuta la mitigazione con il tuo fornitore, sapendo cosa perdi in sicurezza.
- Segui l'avviso Cisco per eventuali indicatori di compromissione e aggiornamenti.
