Cisco ha pubblicato il 28 ottobre 2026 alle 20:15 italiane un avviso per la CVE-2026-76418, una vulnerabilità del servizio VPN SSL ad accesso remoto dei firewall Secure Firewall ASA e Secure Firewall Threat Defense (FTD). Un attaccante remoto, senza credenziali, può far riavviare l’apparato con una richiesta costruita ad arte. Il PSIRT di Cisco scrive di essere venuto a conoscenza di sfruttamento attivo a ottobre, e il 29 ottobre CISA l’ha inserita nel catalogo delle falle sfruttate.
In breve
- Chi è colpito: firewall Cisco ASA e FTD con VPN SSL ad accesso remoto attiva e autenticazione secondaria configurata su un tunnel group, compreso DefaultWEBVPNGroup.
- Gravità: CVSS v3.1 8,6 (impatto sulla disponibilità, nessun accesso ai dati).
- Sfruttata: sì, secondo Cisco e CISA.
- Cosa fare: verificare la configurazione, aggiornare alla prima release corretta del proprio ramo, nel frattempo applicare la mitigazione adatta.
Chi è esposto davvero
Il problema, spiega Cisco, sono errori logici nella gestione dell’autenticazione secondaria configurata su un tunnel group. Servono due condizioni insieme: la parola chiave webvpn nella configurazione con la VPN SSL abilitata su almeno un’interfaccia, e un tunnel group con secondary-authentication-server-group. Non serve un login riuscito per raggiungere il codice vulnerabile. Se è attivo tunnel-group-list enable vanno controllati tutti i gruppi, anche quelli che non compaiono nella pagina di accesso; se l’elenco è disattivato, va comunque controllato DefaultWEBVPNGroup. Non sono colpiti Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC. Shadowserver, secondo BleepingComputer, vede oltre 51.000 VPN SSL ASA esposte su Internet, senza distinguere quelle già aggiornate.
Le release corrette
| Software | Ramo | Prima release corretta |
|---|---|---|
| ASA | 9.16 e precedenti | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27 o 9.24.10.1 |
| FTD | 7.0 e precedenti | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Cisco non ha diffuso indicatori di compromissione né informazioni su chi sfrutta la falla. Il bug ID è CSCwx26625.
Cosa fare subito
- Controllate versione e configurazione dalla CLI dell’ASA (per FTD, la policy VPN e la configurazione risultante in FMC o FDM).
- Se rientrate nelle condizioni, pianificate l’aggiornamento alla prima release corretta del vostro ramo; il Cisco Software Checker indica anche la release che chiude tutti gli avvisi aperti.
- Fino all’aggiornamento applicate la mitigazione che fa al vostro caso (sotto). Cisco non prevede workaround veri.
- Monitorate riavvii inattesi del firewall: sono il sintomo visibile di un attacco riuscito.
show version
show running-config webvpn
show running-config tunnel-groupCaso 1, se DefaultWEBVPNGroup non usa l’autenticazione secondaria: disattivate l’elenco dei gruppi in configurazione webvpn. Gli utenti dovranno conoscere il profilo di connessione da usare.
webvpn
no tunnel-group-list enableCaso 2, se DefaultWEBVPNGroup usa l’autenticazione secondaria: rimuovetela dal gruppo.
tunnel-group NOME_GRUPPO general-attributes
no secondary-authentication-server-groupAttenzione: la seconda mitigazione toglie un fattore di autenticazione alla VPN e abbassa la sicurezza degli accessi remoti. Cisco stessa la presenta come temporanea: usatela solo il tempo necessario ad aggiornare.
La nostra lettura
Un attacco che “solo” riavvia il firewall sembra minore, ma su un apparato di frontiera significa VPN aziendale giù a comando, e i riavvii ripetuti sono anche un buon diversivo. Il punto scomodo è la mitigazione: per chiudere il buco nell’immediato bisogna rinunciare all’autenticazione secondaria, cioè a una protezione. Meglio trovare subito la finestra di manutenzione. Sulle VPN aziendali pesa anche la catena di zero-day Ivanti, in https://hardwarfare.it/sicurezza-informatica/vulnerabilita-patch/ivanti-connect-secure-tre-zero-day-catena-patch/; altri avvisi in https://hardwarfare.it/category/sicurezza-informatica/vulnerabilita-patch/.
Fonti
Immagine di copertina: Cisco ASA 5510.jpg di ShakataGaNai, licenza CC BY-SA 3.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
