Ing. Calogero Bono
Cisco heeft updates uitgebracht voor een denial of service-kwetsbaarheid in de software Secure Firewall ASA en Secure Firewall Threat Defense (FTD). Volgens Cisco wordt de fout al misbruikt, want het eigen beveiligingsteam zag in oktober 2026 actief gebruik. Een aanvaller zonder inloggegevens kan de firewall op afstand laten herstarten. Loopt je externe toegang via dat apparaat, dan betekent een gedwongen herstart kantoren en thuiswerkers zonder VPN.
Even een paar termen, voordat we op de feiten ingaan. Een zero-day is een fout die wordt misbruikt voordat er een oplossing bestaat. DoS (denial of service) staat voor een aanval die een dienst onbereikbaar maakt. Een SSL-VPN is de versleutelde tunnel waarmee je van buitenaf op het bedrijfsnetwerk komt. Een tunnel group is het verbindingsprofiel dat op de firewall is ingesteld. De secundaire authenticatie is een tweede identiteitscontrole die in dat profiel wordt gevraagd.
Wat is er gebeurd?
Volgens het officiële advies van Cisco zit het probleem in de dienst Remote Access SSL VPN. De oorzaak zijn logicafouten wanneer de secundaire authenticatie is ingesteld op een tunnel group. Het volstaat een speciaal opgebouwd verzoek te sturen tijdens het verbinden met de SSL-VPN, en het apparaat herstart.
De kwetsbaarheid heeft de code CVE-2026-76418. The Hacker News meldt een CVSS-score van 8.6, terwijl BleepingComputer de ernst hoog noemt. Eén detail weegt zwaarder dan de rest. Cisco schrijft dat je om het kwetsbare punt te bereiken geen succesvolle VPN-login nodig hebt.
Welke apparaten zijn kwetsbaar?
Niet alle Cisco-firewalls lopen risico. Cisco noemt drie voorwaarden die tegelijk moeten gelden.
- Het apparaat draait een kwetsbare release van ASA of FTD.
- De inlogdienst van de SSL-VPN is bereikbaar.
- De secundaire authenticatie is ingesteld in de tunnel group.
Zo controleer je de configuratie
Staat het woord webvpn in de configuratie en is de SSL-VPN actief op minstens één interface, dan is de configuratie blootgesteld. Vervolgens controleer je de tunnel groups op de regel secondary-authentication-server-group. Staat tunnel-group-list enable aan, dan moet je ze allemaal nakijken, ook DefaultWEBVPNGroup. Ontbreekt die regel of is hij verwijderd, dan moet je de standaardgroep toch nakijken, want het uitschakelen van de lijst neemt de blootstelling niet weg als die groep de secundaire authenticatie gebruikt. Op FTD kijk je in FMC of FDM naar het beleid voor externe toegang.
Cisco benadrukt dat Cloud-delivered Firewall, cdFMC, Secure Access en Secure FMC Software niet getroffen zijn.
Welke versies verhelpen het probleem?
Cisco heeft updates uitgebracht. Dit is de eerste verbeterde release per tak.
- ASA 9.16 en eerder, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 en 9.24.10.1
- FTD 7.0 en eerder, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Echte workarounds zijn er niet, wel een tijdelijke mitigatie. Gebruikt DefaultWEBVPNGroup geen secundaire authenticatie, dan schakel je de lijst van tunnel groups uit met no tunnel-group-list enable. Gebruikt die groep haar wel, dan verwijder je de instelling met no secondary-authentication-server-group, maar Cisco waarschuwt dat de beveiliging van de externe toegang dan lager wordt. Cisco raadt het bijwerken toch aan.
De context van andere aanvallen op Cisco
Volgens BleepingComputer is dit geen op zichzelf staand geval. In september vorig jaar verhielp Cisco CVE-2025-20362 en CVE-2025-20333, die als zero-day werden misbruikt op apparaten uit de 5500-X-reeks. Op dezelfde dag gaf de Amerikaanse CISA de Emergency Directive 25-03 uit, met 24 uur om te reageren voor federale instanties. Cisco koppelde die aanvallen aan de ArcaneDoor-campagne.
De site herinnert ook aan een andere DoS-zero-day, CVE-2026-20349, die in augustus werd verholpen, en een fout in Secure Email Gateway (CVE-2026-76519) die in dezelfde maand werd opgelost. Sinds november 2021 heeft de CISA 101 misbruikte Cisco-kwetsbaarheden gemeld, waarvan zeven ook door ransomwaregroepen werden gebruikt.
Beperkingen om te kennen
Er ontbreken veel gegevens. Cisco heeft geen indicators of compromise gedeeld en zegt niet wie aanvalt, wie er wordt geraakt, of wanneer de aanvallen begonnen. We weten dus niet hoe groot de activiteit is.
Shadowserver telt volgens BleepingComputer meer dan 51.000 ASA-apparaten met een online blootgestelde SSL-VPN. Het zegt niet hoeveel daarvan al zijn bijgewerkt of honeypots zijn, dus het is niet het aantal kwetsbare apparaten. De mitigatie heeft Cisco bovendien in een testomgeving uitgeprobeerd, en je moet haar in je eigen context beoordelen.
Wat verandert voor wie met digitale middelen werkt
Voor een klein bedrijf met een Cisco-firewall is het praktische effect een onderbroken externe toegang, niet noodzakelijk datadiefstal. De schade is er toch, want wie thuis of op een bouwplaats werkt, zit buiten. Heb je een leverancier die je firewall beheert, vraag hem dan vandaag welke versie draait en of de secundaire authenticatie aan staat.
Voor wie infrastructuur beheert, ligt de les bij de perimeter. Een blootgestelde externe toegang hoort behandeld te worden als een kritieke dienst, met inventaris, vaste updatevensters en monitoring. Over toegangsbeheer helpt ons artikel over de VPN voor thuiswerken om de basiskeuzes te doordenken. En voor servers die je online zet, bestaan onze beheerde servers met beveiligingsupdates juist om dit soort meldingen niet achterna te hoeven lopen.
Ons oordeel
De zaak heeft een ironische kant. Secundaire authenticatie is een beveiligingsmaatregel, en juist de configuratie ervan opent de deur naar het blokkeren van het apparaat. De mitigatie raadt aan die maatregel te verwijderen, en daarmee staat de beheerder voor een ongemakkelijke keuze tussen beschikbaarheid en bescherming.
We vinden het weinig informatie geven een probleem. Weten dat iemand een fout misbruikt zonder indicators of compromise, laat verdedigers blind achter. Je kunt de logs niet gericht op sporen controleren. Daarom is bijwerken meteen de enige verstandige route, zonder te wachten op details die misschien nooit komen.
Veelgestelde vragen
Maakt de fout het mogelijk gegevens te stelen?
Uit de bronnen niet. Cisco beschrijft alleen een onverwachte herstart van het apparaat, dus een denial of service. Er is geen aanwijzing dat via deze kwetsbaarheid toegang tot gegevens mogelijk is.
Heb je een VPN-account nodig om de fout te misbruiken?
Nee. De aanvaller is niet geauthenticeerd en werkt op afstand. Cisco meldt dat je geen succesvolle VPN-login nodig hebt om het kwetsbare punt te bereiken.
Is er een oplossing als ik nu niet kan updaten?
Alleen een tijdelijke. Je schakelt de secundaire authenticatie op de tunnel groups uit, of, als de standaardgroep die niet gebruikt, de lijst van tunnel groups. Cisco benadrukt dat dit een voorlopige maatregel is die de beveiliging kan verlagen.
Hoe ernstig is de kwetsbaarheid?
Hoge ernst. The Hacker News meldt een CVSS van 8.6. Cisco bevestigt dat er actief misbruik is.
Hoe weet ik of mijn versie getroffen is?
Vergelijk je release met de tabel met updates in het advies. Cisco biedt daarnaast de Cisco Software Checker aan, die de adviezen voor een specifieke versie aangeeft.
Waar je op moet letten in de komende weken
De informatie over de aanvallen en hun omvang blijft open. Ondertussen kun je op drie punten handelen.
- Controleer de versie en configuratie van de firewall, en plan de update naar de verbeterde release meteen in.
- Moet je wachten, overleg de mitigatie dan met je leverancier, met goed zicht op wat je aan beveiliging inlevert.
- Volg het advies van Cisco voor eventuele indicators of compromise en updates.
