A Cisco divulgou em 28 de outubro de 2026 uma falha no serviço Remote Access SSL VPN do Secure Firewall Adaptive Security Appliance (ASA) e do Secure Firewall Threat Defense (FTD). O CVE-2026-76418 permite que um atacante remoto e não autenticado force a recarga do dispositivo. O Product Security Incident Response Team (PSIRT) informou ter tomado conhecimento de exploração ativa em outubro de 2026. É o segundo aviso de negação de serviço em VPN desses firewalls, com exploração reconhecida pelo PSIRT, desde agosto de 2026.
O que a falha provoca
Uma requisição manipulada, enviada na conexão à VPN SSL, alcança o caminho vulnerável. A Cisco atribui a causa a erros de lógica quando a autenticação secundária está configurada em um tunnel group. O login bem-sucedido não é necessário. O efeito descrito pelo fabricante é a recarga inesperada e a negação de serviço. O aviso não aponta impacto de confidencialidade ou integridade e não descreve execução remota de código.
Classificação oficial
O aviso cisco-sa-asaftd-tunnel-dos-s6mgkb75, revisão 1.0 e status Final, é a divulgação pública inicial, publicada às 19:15 GMT. O Security Impact Rating é High. A Cisco, na função de CNA, atribuiu CVSS 3.1 de base 8.6, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H. As métricas temporais de exploração, remediação e confiança do relatório não foram definidas. O identificador interno é CSCwx26625.
O vetor descreve ataque pela rede, complexidade baixa, ausência de privilégio prévio e ausência de interação do usuário. O escopo muda e apenas a disponibilidade recebe impacto alto. Eric Fernald identificou a falha durante um caso do Cisco TAC. O aviso não a trata como pesquisa externa independente.
A Cisco mapeou a fraqueza como CWE-690, retorno não verificado que pode levar a desreferenciação de ponteiro nulo. A descrição genérica dessa classe admite, em situações raras, consequências além da indisponibilidade. O aviso e o CVSS não afirmam esse desdobramento. O impacto sustentado é a recarga do firewall. O NVD reproduz o CVSS e o CWE informados pela Cisco e não publica pontuação própria do NIST para este CVE. Não há CVSS 4.0 oficial da Cisco nem do NVD. Pontuações 4.0 exibidas por agregadores não substituem a avaliação 3.1 do fabricante.
Quem está exposto
A exposição deste CVE exige as três condições ao mesmo tempo:
- release vulnerável de ASA ou FTD;
- serviço de login da SSL VPN de acesso remoto alcançável;
- autenticação secundária no escopo de tunnel group descrito no aviso.
Sem essa combinação, a falha não se confirma. O aviso não inclui Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access (CSA) nem Secure FMC Software. O FMC administra o FTD, mas o software do próprio FMC não é o componente vulnerável.
A referência de correção é a tabela do aviso, não uma lista parcial de versões publicada em outros registros. A Cisco indica o Software Checker para confirmar a primeira correção do trem e a primeira correção combinada. O aviso não afirma que toda build anterior aos números abaixo esteja afetada quando a configuração descrita não existe.
No ASA, as primeiras releases corrigidas são:
- 9.16 e anteriores: 9.16.4.104
- 9.18: 9.18.4.96
- 9.20: 9.20.4.50
- 9.22: 9.22.3.200
- 9.23: 9.23.1.48
- 9.24: 9.24.1.27 e 9.24.10.1
Os dois builds de 9.24 são correções distintas e não devem ser reduzidos a um único número.
No FTD, as primeiras releases corrigidas são:
- 7.0 e anteriores: 7.0.11
- 7.2: 7.2.13
- 7.4: 7.4.9
- 7.6: 7.6.7
- 7.7: 7.7.14
- 10.0: 10.0.3
- 10.1: 10.1.1
A página em inglês do alerta canadense AV26-1102 registra correção do ASA a partir de 9.23.1.4. A página em francês do mesmo alerta e o aviso da Cisco indicam 9.23.1.48. O planejamento de atualização deve seguir o número publicado pela Cisco.
Conferência da configuração
No ASA, a SSL VPN fica habilitada quando a configuração contém o bloco webvpn e o comando enable em ao menos uma interface. No FTD, o recurso é habilitado no FMC, em Devices > VPN > Remote Access, ou no FDM, em Remote Access VPN. A tela do gerenciador não encerra a análise. É preciso revisar a política implantada e a running-config resultante.
Se tunnel-group-list enable estiver presente, a procura por secondary-authentication-server-group cobre todos os tunnel groups, inclusive DefaultWEBVPNGroup. A checagem não se limita aos perfis mostrados na página de login. Se o comando estiver ausente, ou tiver sido removido com no tunnel-group-list enable, DefaultWEBVPNGroup ainda precisa ser inspecionado. Desabilitar a lista de grupos não elimina a exposição quando o grupo padrão usa autenticação secundária.
Atualização e contenção
O cabeçalho do aviso informa que não há workaround. O corpo descreve mitigação, não correção. A Cisco testou essa mitigação em ambiente de teste e recomenda explicitamente atualizar.
Quando DefaultWEBVPNGroup não usa autenticação secundária, a contenção descrita é no tunnel-group-list enable. Os usuários deixam de escolher o connection profile na lista. Quando o grupo padrão usa autenticação secundária, a contenção é no secondary-authentication-server-group. A Cisco alerta que essa mudança reduz a postura de segurança da VPN de acesso remoto.
Esses comandos alteram o comportamento em produção. Antes de aplicá-los, registre a configuração vigente e avalie o efeito sobre os perfis de conexão e sobre o servidor de autenticação secundária. No FTD, a contenção só vale se estiver na configuração em execução, não apenas na tela de política. A medida é temporária. A correção é instalar a primeira release corrigida do trem em uso, confirmada no aviso e no Software Checker.
O CVE de agosto não cobre este caso
O CVE-2026-20349, associado ao bug CSCwv96220 e ao aviso cisco-sa-asaftd-vpn-dos-dzv4mQFF, é outra negação de serviço em VPN de ASA e FTD. A Cisco o publicou em 11 de agosto de 2026 e atualizou o aviso para a versão 1.1 em 16 de setembro de 2026. O CVSS 3.1 de base também é 8.6, com o mesmo vetor, mas a causa é diferente: checagem insuficiente de erro ao processar requisições HTTP, mapeada como CWE-244. A superfície daquele aviso é mais ampla e inclui sockets SSL de IKEv2 Remote Access VPN com client services, SSL VPN e, somente no FTD, Zero Trust Network Access.
O PSIRT reconheceu exploração do CVE de agosto ainda em agosto de 2026. A descoberta ocorreu em teste interno e também foi reportada por Valerio Brussani. Esse CVE entrou no catálogo KEV da CISA em 11 de agosto de 2026, com prazo de 14 de agosto. O aviso de agosto publica as regras Snort 46897 e 59654. O aviso de outubro não publica identificadores Snort.
As primeiras correções do aviso 1.1, para o CVE de agosto, são anteriores às deste caso. No ASA: 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 e 9.24.1.26. No FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 e 10.1.0. Instalar somente essas releases não corrige o CVE-2026-76418.
Limites do que se sabe
A exploração ativa do CVE-2026-76418 está confirmada pela Cisco. O boletim do HKCERT de 29 de outubro de 2026 classifica o caso como de risco alto e repete a informação de exploração, com o fabricante como fonte. O aviso não indica data de início dos ataques, ator, vítimas, volume de incidentes nem indicadores de comprometimento. Também não publica prova de conceito e não relaciona o caso ao ator da falha de agosto.
O catálogo KEV da CISA, versão 2026.10.28, publicado em 28 de outubro de 2026, contém o CVE-2026-20349 e não contém o CVE-2026-76418. O alerta da CISA desse dia adicionou apenas CVE-2026-41709 e CVE-2026-46300. Relatos de agregadores sobre inclusão posterior não constam desse feed oficial e não confirmam a listagem.
Uma contagem de firewalls com SSL VPN alcançável também não mede quantos equipamentos cumprem a terceira condição. Sem autenticação secundária no tunnel group aplicável, a exposição deste CVE não se estabelece.
O passo seguinte é identificar o trem, ler a running-config e atualizar para a primeira release corrigida aplicável. Se a contenção precisar entrar antes da janela de mudança, a perda funcional ou de segurança descrita pela Cisco tem de ser aceita de forma explícita. Depois da atualização, confirme a versão em execução e a política de VPN efetivamente instalada, não apenas o pacote agendado no gerenciador.
Referências
- Cisco Security Advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75
- Cópia do aviso no cisco.com
- Cisco Security Advisory cisco-sa-asaftd-vpn-dos-dzv4mQFF (CVE-2026-20349)
- Cisco Software Checker
- NVD: CVE-2026-76418
- CWE-690
- Catálogo KEV da CISA
- Feed JSON do catálogo KEV
- Alerta CISA de 28 de outubro de 2026
- Boletim HKCERT de 29 de outubro de 2026
- Alerta canadense AV26-1102, página em inglês
- Alerta canadense AV26-1102, página em francês
About The Author
