Ing. Calogero Bono
Cisco opublikowało aktualizacje dla luki typu denial of service w oprogramowaniu Secure Firewall ASA i Secure Firewall Threat Defense (FTD). Według Cisco luka jest już wykorzystywana, ponieważ jego zespół ds. bezpieczeństwa wykrył aktywne jej użycie w październiku 2026 roku. Atakujący bez danych uwierzytelniających może zdalnie spowodować restart zapory. Jeśli twój zdalny dostęp przechodzi przez nią, wymuszony restart oznacza biura i pracę zdalną bez VPN.
Kilka pojęć, zanim przejdziemy do faktów. Zero-day to luka wykorzystywana, zanim powstanie poprawka. DoS (denial of service) oznacza atak, który sprawia, że usługa staje się niedostępna. VPN SSL to zaszyfrowany tunel, którym łączy się z siecią firmową z zewnątrz. Tunnel group to profil połączenia skonfigurowany na zaporze. Uwierzytelnianie dodatkowe to drugi etap weryfikacji tożsamości wymagany w tym profilu.
Co się wydarzyło?
Według oficjalnego komunikatu Cisco, problem leży w usłudze Remote Access SSL VPN. Przyczyną są błędy w logice działania, gdy na tunnel group skonfigurowano uwierzytelnianie dodatkowe. Wystarczy wysłać spreparowane żądanie podczas łączenia się z VPN SSL, aby urządzenie się zrestartowało.
Luka jest oznaczona jako CVE-2026-76418. The Hacker News podaje wynik CVSS 8.6, a BleepingComputer określa ją jako wysoką wagę. Jeden szczegół waży bardziej niż pozostałe. Cisco pisze, że dotarcie do podatnego miejsca nie wymaga udanego logowania do VPN.
Które urządzenia są podatne?
Nie każda zapora Cisco jest zagrożona. Cisco wskazuje trzy warunki, które muszą być spełnione jednocześnie.
- Urządzenie działa na podatnej wersji ASA lub FTD.
- Usługa logowania VPN SSL jest osiągalna.
- Uwierzytelnianie dodatkowe jest skonfigurowane w tunnel group.
Jak sprawdzić konfigurację
Jeśli w konfiguracji występuje słowo kluczowe webvpn, a VPN SSL jest aktywny przynajmniej na jednym interfejsie, konfiguracja jest wystawiona. Następnie sprawdza się tunnel group pod kątem wpisu secondary-authentication-server-group. Jeśli obecne jest tunnel-group-list enable, trzeba przejrzeć wszystkie grupy, włącznie z DefaultWEBVPNGroup. Jeśli go brak lub został usunięty, i tak warto sprawdzić grupę domyślną, bo wyłączenie listy nie usuwa ekspozycji, gdy ta grupa korzysta z uwierzytelniania dodatkowego. Na FTD trzeba zajrzeć do polityki dostępu zdalnego w FMC lub FDM.
Cisco zaznacza, że nie są objęte Cloud-delivered Firewall, cdFMC, Secure Access oraz Secure FMC Software.
Które wersje usuwają problem?
Cisco wydało aktualizacje. Poniżej pierwsza poprawiona wersja w każdej gałęzi.
- ASA 9.16 i wcześniejsze, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 i 9.24.10.1
- FTD 7.0 i wcześniejsze, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Nie ma właściwych obejść. Istnieje jednak tymczasowe złagodzenie. Jeśli DefaultWEBVPNGroup nie używa uwierzytelniania dodatkowego, wyłącz listę tunnel group poleceniem no tunnel-group-list enable. Jeśli je używa, usuń je poleceniem no secondary-authentication-server-group, ale Cisco ostrzega, że obniża to bezpieczeństwo zdalnego dostępu. Cisco i tak zaleca aktualizację.
Kontekst innych ataków na Cisco
Według BleepingComputer to nie jest odosobniony przypadek. We wrześniu w zeszłym roku Cisco załatało CVE-2025-20362 i CVE-2025-20333, wykorzystywane jako zero-day na urządzeniach serii 5500-X. Tego samego dnia amerykańska CISA wydała Emergency Directive 25-03, dając federalnym agencjom 24 godziny. Cisco powiązało te ataki z kampanią ArcaneDoor.
Serwis przypomina też inny zero-day typu DoS, CVE-2026-20349, załatany w sierpniu, oraz lukę w Secure Email Gateway (CVE-2026-76519) naprawioną w tym samym miesiącu. Od listopada 2021 roku CISA odnotowała 101 wykorzystywanych luk Cisco, z czego siedem także przez grupy ransomware.
Ograniczenia, o których warto wiedzieć
Brakuje wielu danych. Cisco nie podało wskaźników kompromitacji i nie powiedziało, kto atakuje, kogo dotyczy problem ani kiedy ataki się zaczęły. Nie znamy więc skali działań.
Według BleepingComputer Shadowserver śledzi ponad 51 000 urządzeń ASA z VPN SSL wystawionych w internecie. Nie wiadomo, ile z nich jest już zaktualizowanych lub jest honeypotami, więc to nie jest liczba podatnych urządzeń. Mitygację Cisco przetestowało w środowisku testowym i trzeba ją ocenić we własnym kontekście.
Co zmienia się dla osób pracujących cyfrowo
Dla małej firmy z zaporą Cisco praktycznym skutkiem jest przerwa w zdalnym dostępie, niekoniecznie kradzież danych. Szkoda i tak jest, bo ktoś pracujący z domu albo z placu budowy zostaje odcięty. Jeśli masz dostawcę, który zarządza twoją zaporą, zapytaj go dziś, jaka wersja jest zainstalowana i czy uwierzytelnianie dodatkowe jest aktywne.
Dla osób zarządzających infrastrukturą wniosek dotyczy perymetru. Wystawiony na zewnątrz dostęp zdalny trzeba traktować jak usługę krytyczną, z inwentarzem, oknami aktualizacji i monitoringiem. W kwestii dostępu nasz materiał o VPN dla pracy zdalnej pomaga przemyśleć podstawowe wybory. A dla serwerów wystawionych w internecie nasze zarządzane serwery z aktualizacjami bezpieczeństwa istnieją właśnie po to, żeby nie gonić takich komunikatów.
Nasza opinia
Ta sprawa ma ironiczny wymiar. Uwierzytelnianie dodatkowe jest środkiem bezpieczeństwa, a właśnie jego konfiguracja otwiera drogę do zablokowania urządzenia. Mitygacja zaleca jego usunięcie, co stawia administratora przed niewygodnym wyborem między dostępnością a ochroną.
Krytykujemy brak informacji. Wiedza, że ktoś wykorzystuje lukę, bez wskaźników kompromitacji pozostawia obrońców w ciemności. Nie da się sprawdzić logów pod kątem konkretnych śladów. Dlatego jedyną rozsądną drogą jest natychmiastowa aktualizacja, bez czekania na szczegóły, które mogą nie nadejść.
Najczęstsze pytania
Czy ta luka pozwala wykraść dane?
Ze źródeł nie wynika. Cisco opisuje jedynie nieoczekiwany restart urządzenia, czyli denial of service. Nie ma żadnych wskazań na dostęp do danych przez tę lukę.
Czy do jej wykorzystania potrzebne jest konto VPN?
Nie. Atakujący jest nieuwierzytelniony i zdalny. Cisco podkreśla, że do dotarcia do podatnego miejsca nie jest potrzebne udane logowanie do VPN.
Czy istnieje rozwiązanie, jeśli nie mogę zaktualizować od razu?
Tylko tymczasowe. Wyłącza się uwierzytelnianie dodatkowe w tunnel group albo, jeśli grupa domyślna go nie używa, listę tunnel group. Cisco przypomina, że to środek przejściowy i może obniżać bezpieczeństwo.
Jak poważna jest ta luka?
Wysoka. The Hacker News podaje CVSS 8.6. Cisco potwierdza aktywne wykorzystywanie.
Jak sprawdzić, czy moja wersja jest narażona?
Porównaj wersję z tabelą aktualizacji z komunikatu. Cisco udostępnia też Cisco Software Checker, który wskazuje komunikaty dotyczące konkretnej wersji.
Na co zwrócić uwagę w najbliższych tygodniach
Wciąż brakuje informacji o atakach i ich skali. Tymczasem możesz działać w trzech punktach.
- Sprawdź wersję i konfigurację zapory oraz zaplanuj natychmiast aktualizację do poprawionej wersji.
- Jeśli musisz czekać, rozważ mitygację z dostawcą, mając świadomość, co tracisz w zakresie bezpieczeństwa.
- Śledź komunikat Cisco pod kątem ewentualnych wskaźników kompromitacji i aktualizacji.
