Ing. Calogero Bono
A Cisco publicou atualizações para uma vulnerabilidade de negação de serviço (denial of service) nos softwares Secure Firewall ASA e Secure Firewall Threat Defense (FTD). Segundo a Cisco, a falha já está sendo explorada, pois a equipe de segurança da empresa detectou o uso ativo em outubro de 2026. Um atacante sem credenciais pode fazer o firewall reiniciar remotamente. Se o seu acesso remoto passa por ele, um reinício forçado significa escritórios e home office sem VPN.
Alguns termos antes de entrar nos fatos. Um zero-day é uma falha explorada antes que exista uma correção. DoS (denial of service) indica um ataque que deixa um serviço indisponível. Uma VPN SSL é o túnel criptografado pelo qual se acessa a rede da empresa de fora. Um tunnel group é o perfil de conexão configurado no firewall. A autenticação secundária é um segundo controle de identidade exigido nesse perfil.
O que aconteceu?
Segundo o aviso oficial da Cisco, o problema está no serviço Remote Access SSL VPN. A causa são erros de lógica quando a autenticação secundária está configurada em um tunnel group. Basta enviar uma requisição feita sob medida durante a conexão à VPN SSL para o dispositivo reiniciar.
A vulnerabilidade é catalogada como CVE-2026-76418. The Hacker News informa pontuação CVSS de 8.6, enquanto a BleepingComputer a classifica como de gravidade alta. Um detalhe pesa mais que os outros. A Cisco escreve que, para alcançar o ponto vulnerável, não é necessário um login VPN bem-sucedido.
Quais dispositivos são vulneráveis?
Nem todos os firewalls Cisco estão em risco. A Cisco indica três condições que devem valer ao mesmo tempo.
- O dispositivo executa uma versão vulnerável de ASA ou FTD.
- O serviço de login da VPN SSL está acessível.
- A autenticação secundária está configurada no tunnel group.
Como verificar a configuração
Se a configuração contém a palavra-chave webvpn e a VPN SSL está ativa em pelo menos uma interface, a configuração está exposta. Depois, verifique os tunnel groups procurando pela linha secondary-authentication-server-group. Se tunnel-group-list enable estiver presente, devem ser verificados todos, inclusive DefaultWEBVPNGroup. Se estiver ausente ou tiver sido removido, o grupo padrão ainda deve ser verificado, porque desativar a lista não elimina a exposição quando esse grupo usa a autenticação secundária. Em FTD, veja a política de acesso remoto no FMC ou no FDM.
A Cisco esclarece que não são afetados Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC Software.
Quais versões corrigem o problema?
A Cisco lançou as atualizações. Esta é a primeira versão corrigida para cada ramo.
- ASA 9.16 e anteriores, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 e 9.24.10.1
- FTD 7.0 e anteriores, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Não existem workarounds propriamente ditos. Há, porém, uma mitigação temporária. Se o DefaultWEBVPNGroup não usa a autenticação secundária, desative a lista de tunnel groups com no tunnel-group-list enable. Se usa, remova-a com no secondary-authentication-server-group, mas a Cisco avisa que, assim, a segurança do acesso remoto diminui. A Cisco recomenda, de qualquer forma, a atualização.
O contexto dos outros ataques à Cisco
Segundo a BleepingComputer, este não é um caso isolado. Em setembro do ano passado, a Cisco corrigiu CVE-2025-20362 e CVE-2025-20333, exploradas como zero-day em dispositivos da série 5500-X. No mesmo dia, a CISA dos Estados Unidos emitiu a Emergency Directive 25-03, com 24 horas de prazo para as agências federais. A Cisco associou esses ataques à campanha ArcaneDoor.
A publicação também lembra outro zero-day de DoS, CVE-2026-20349, corrigido em agosto, e um no Secure Email Gateway (CVE-2026-76519), resolvido no mesmo mês. Desde novembro de 2021, a CISA registrou 101 falhas da Cisco exploradas, sete das quais também por grupos de ransomware.
Limitações a conhecer
Faltam muitos dados. A Cisco não forneceu indicadores de comprometimento e não disse quem ataca, quem é atingido, nem quando os ataques começaram. Não sabemos, portanto, a escala da atividade.
A Shadowserver, segundo a BleepingComputer, monitora mais de 51.000 dispositivos ASA com VPN SSL expostos na internet. Não informa quantos já estão atualizados ou são honeypots, então não é o número de dispositivos vulneráveis. Por fim, a mitigação foi testada pela Cisco em ambiente de teste e deve ser avaliada no contexto de cada um.
O que muda para quem trabalha com o digital
Para uma pequena empresa com firewall Cisco, o efeito prático é a interrupção do acesso remoto, não necessariamente o roubo de dados. O prejuízo existe mesmo assim, porque quem trabalha de casa ou de um canteiro de obras fica sem acesso. Se você tem um fornecedor que gerencia seu firewall, peça hoje a versão instalada e confirme se a autenticação secundária está ativa.
Para quem gerencia infraestruturas, a lição está no perímetro. Um acesso remoto exposto deve ser tratado como serviço crítico, com inventário, janelas de atualização e monitoramento. Sobre acessos, nosso aprofundamento sobre a VPN para o trabalho remoto ajuda a pensar nas escolhas básicas. E para os servidores que você expõe online, nossos servidores gerenciados com atualizações de segurança existem justamente para não correr atrás de avisos como este.
Nossa opinião
O caso tem um lado irônico. A autenticação secundária é uma medida de segurança, e justamente sua configuração abre a porta para o travamento do dispositivo. A mitigação sugere removê-la, o que coloca o administrador diante de uma escolha incômoda entre disponibilidade e proteção.
Criticamos a escassez de informações. Saber que alguém explora uma falha sem indicadores de comprometimento deixa os defensores às cegas. Não podemos verificar os logs em busca de rastros específicos. Por isso, o único caminho sensato é atualizar já, sem esperar detalhes que talvez nunca cheguem.
Perguntas frequentes
A falha permite roubar dados?
Pelas fontes, não. A Cisco descreve apenas um reinício inesperado do dispositivo, ou seja, uma negação de serviço. Não há qualquer indicação de acesso a dados por meio dessa vulnerabilidade.
É preciso ter uma conta VPN para explorá-la?
Não. O atacante é não autenticado e remoto. A Cisco esclarece que não é necessário um login VPN bem-sucedido para alcançar o ponto vulnerável.
Existe uma solução se não puder atualizar agora?
Apenas temporária. Desative a autenticação secundária nos tunnel groups ou, se o grupo padrão não a usar, a lista de tunnel groups. A Cisco lembra que é uma medida provisória e que pode reduzir a segurança.
Quão grave é a vulnerabilidade?
Gravidade alta. The Hacker News informa CVSS de 8.6. A Cisco confirma a exploração ativa.
Como descubro se minha versão está exposta?
Compare a versão com a tabela de atualizações do aviso. A Cisco também disponibiliza o Cisco Software Checker, que indica os avisos relativos a uma versão específica.
O que acompanhar nas próximas semanas
Permanecem em aberto as informações sobre os ataques e sua escala. Enquanto isso, você pode agir em três frentes.
- Verifique a versão e a configuração do firewall e planeje já a atualização para a versão corrigida.
- Se precisar esperar, avalie a mitigação com seu fornecedor, sabendo o que perde em segurança.
- Acompanhe o aviso da Cisco para eventuais indicadores de comprometimento e atualizações.
