Cisco veröffentlicht Sicherheitsupdates für Zero-Day-Lücke in Firewall-Geräten

Cisco hat Sicherheitsupdates veröffentlicht, um eine Zero-Day-Schwachstelle zu beheben, die zu einem Dienstausfall in der Software für Adaptive Security Appliance und Threat Defense führt. Angreifer nutzen diese Lücke aus, um betroffene Firewall-Geräte aus der Ferne zum Absturz zu bringen.

Die als CVE-2026-76418 eingestufte Schwachstelle mit hoher Schwere betrifft Geräte, die ASA und FTD Software verwenden. Voraussetzung für die Anfälligkeit ist eine Konfiguration mit dem Schlüsselwort webvpn sowie ein aktiviertes SSL VPN auf mindestens einer Schnittstelle. Nicht authentifizierte Angreifer können aus der Ferne einen Zustand des Dienstausfalls auslösen, was dazu führt, dass das Gerät unerwartet neu startet.

Laut Cisco resultiert die Schwachstelle aus Logikfehlern, wenn eine sekundäre Authentifizierung für eine Tunnelgruppe konfiguriert ist. Ein Angreifer kann die Lücke ausnutzen, indem er eine manipulierte Anfrage sendet, während er eine Verbindung zum SSL Remote Access VPN herstellt. Das Product Security Incident Response Team von Cisco entdeckte Anfang dieses Monats Beweise für die aktive Ausnutzung der Schwachstelle. Das Unternehmen gab keine Indikatoren für eine Kompromittierung bekannt und teilte keine weiteren Informationen über die Angriffe, die betroffenen Organisationen oder die Identität der Angreifer mit.

Kunden wird dringend empfohlen, auf eine korrigierte Softwareversion zu aktualisieren. Es gibt keine direkten Workarounds, um das Sicherheitsproblem zu lösen. Administratoren, die nicht sofort patchen können, können das Risiko mindern, indem sie die sekundäre Authentifizierung in der Standardgruppe DefaultWEBVPNGroup oder in jeder benutzerdefinierten Tunnelgruppenliste deaktivieren.

Die Überwachungsplattform Shadowserver registriert derzeit mehr als 51.000 Cisco ASA SSL VPN Geräte, die online exponiert sind. Es liegen jedoch keine Informationen darüber vor, wie viele dieser Geräte bereits gesichert wurden oder es sich um Honeypots handelt. In der Vergangenheit gab es ähnliche Vorfälle, wie etwa die ArcaneDoor Kampagne, die seit November 2023 Regierungsnetzwerke angriff. Zudem wurden im August und Anfang dieses Monats weitere Zero-Day-Lücken in Firewall-Geräten sowie in der Secure Email Gateway Lösung behoben. Seit November 2021 hat die Cybersecurity and Infrastructure Security Agency insgesamt 101 Sicherheitslücken von Cisco als in der Praxis ausgenutzt markiert, wobei sieben davon von Ransomware-Banden missbraucht wurden.