Cisco heeft een ernstig lek gedicht in Cisco Secure Firewall Adaptive Security Appliance (ASA) en Cisco Secure Firewall Threat Defense (FTD). Het gaat om een fout in de Remote Access SSL VPN-functie, geregistreerd als CVE-2026-76418, met een CVSS-score van 8,6 (High). De kwetsbaarheid maakt het mogelijk om, zonder in te loggen, via een speciaal vervaardigd verzoek het apparaat te laten herstarten. Dat leidt tot een Denial‑of‑Service en dus tot uitval van dienstverlening. Cisco bevestigt dat deze kwetsbaarheid in oktober 2026 actief is misbruikt. (app.opencve.io)

Misbruik is alleen mogelijk als twee voorwaarden samenkomen: de SSL VPN-dienst moet van buitenaf bereikbaar zijn én er moet “secondary authentication” zijn geconfigureerd op een VPN‑tunnelgroep. Een geslaagde VPN‑aanmelding is níet nodig om de kwetsbare verwerkingsroute te raken, waardoor een aanvaller met relatief weinig moeite een reboot kan triggeren. (sec.cloudapps.cisco.com)

Updates zijn beschikbaar. Voor ASA zijn fixes opgenomen in onder meer 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 en 9.24.1.27; voor FTD in 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 en 10.1.1. Cisco geeft aan dat er geen volwaardige workarounds zijn. Wel is er een tijdelijke mitigatie: schakel waar mogelijk secondary authentication uit op de betrokken tunnelgroep(en) of verwijder de tunnelgroeplijst. Let op: dit verlaagt de security‑barrière van je VPN; upgraden naar een vaste release blijft de juiste remedie. (sec.cloudapps.cisco.com)

Voor beheerders in Nederland is dit extra relevant: eerder dit jaar wees het NCSC‑NL al op een vergelijkbare DoS‑kwetsbaarheid in de SSL‑VPN‑component van ASA/FTD (andere CVE), wat onderstreept dat deze toegangspoort structureel wordt aangevallen. Blijf dus alert op nieuwe adviezen en patchcycli rond remote‑toegangsvoorzieningen. (advisories.ncsc.nl)

Zo pak je dit vandaag nog aan:

• Check of SSL VPN aan staat: zoek in de running‑config naar “webvpn” en controleer of het op een interface is ingeschakeld. (sec.cloudapps.cisco.com)
• Controleer tunnelgroepen: als “tunnel-group-list enable” is geconfigureerd, controleer alle groepen (ook DefaultWEBVPNGroup) op “secondary-authentication-server-group”. Ook zonder zichtbare grouplijst kan de defaultgroep nog kwetsbaar zijn. (sec.cloudapps.cisco.com)
• Beoordeel bereikbaarheid: is de VPN‑inlog publiek toegankelijk, overweeg dan tijdelijke IP‑beperkingen tot je kunt patchen.
• Plan en voer de upgrade uit naar een vaste release zoals genoemd in de Cisco‑tabel voor jouw software‑train. Gebruik desnoods Cisco’s Software Checker om de juiste versie te bepalen. (sec.cloudapps.cisco.com)

Tot slot: deze kwetsbaarheid is inmiddels formeel vastgelegd en door Cisco van updates voorzien. Organisaties die ASA/FTD inzetten voor externe toegang doen er verstandig aan snel te patchen en in de tussentijd de secundaire authenticatie op tunnelgroepniveau kritisch te herzien. Dat beperkt het risico op onverwachte reboots en onnodige uitval van je VPN‑dienst. (app.opencve.io)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.