Nieuwe Cisco firewall zero-day wordt gebruikt om SSL VPN apparaten te laten crashen

brown padlock on blue wooden door — Jornada Produtora / Unsplash

Cisco heeft beveiligingsupdates uitgebracht om een zero-day kwetsbaarheid voor weigering van service te dichten in de software van Adaptive Security Appliance en Threat Defense. Aanvallers maken gebruik van dit lek om kwetsbare firewall apparaten op afstand te laten crashen.

De kwetsbaarheid, aangeduid als CVE-2026-76418, heeft een hoge ernst. Het treft apparaten die Adaptive Security Appliance of Threat Defense software gebruiken met configuraties die het trefwoord webvpn bevatten en waarbij SSL VPN op ten minste één interface is ingeschakeld. Niet-geauthentiseerde aanvallers op afstand kunnen een weigering van service veroorzaken, waardoor het apparaat onverwacht opnieuw opstart.

Volgens Cisco wordt de kwetsbaarheid veroorzaakt door logische fouten wanneer secundaire authenticatie is geconfigureerd op een tunnelgroep. Een aanvaller kan dit misbruiken door een vervaardigd verzoek te sturen bij het verbinden met de SSL remote access VPN. Het Product Security Incident Response Team van Cisco ontdekte begin deze maand bewijs dat het lek in de praktijk werd misbruikt. Het bedrijf heeft geen indicatoren van compromittering verstrekt en heeft geen verdere informatie gedeeld over welke organisaties het doelwit zijn of wie het lek misbruikt.

Er zijn geen omwegen beschikbaar die het beveiligingsprobleem volledig oplossen. Beheerders die niet direct kunnen patchen, kunnen het risico verminderen door secundaire authenticatie uit te schakelen op de standaard DefaultWEBVPNGroup tunnelgroep of op elke door de gebruiker geconfigureerde tunnelgroeplijst. Cisco raadt klanten dringend aan om te upgraden naar een vaste softwareversie.

Het platform Shadowserver houdt momenteel meer dan 51.000 Cisco Adaptive Security Appliance SSL VPN apparaten bij die online zijn blootgesteld. Er is geen informatie beschikbaar over hoeveel hiervan al zijn beveiligd of als honeypots dienen.

Dit incident volgt op eerdere lekken. In augustus loste Cisco een andere zero-day kwetsbaarheid voor weigering van service op, CVE-2026-20349, die werd gebruikt om apparaten met SSL listen sockets te laten crashen. Vorig jaar werden CVE-2025-20362 en CVE-2025-20333 gepatcht, die onderdeel waren van de ArcaneDoor campagne. Sinds november 2021 heeft de Cybersecurity and Infrastructure Security Agency 101 Cisco beveiligingsfouten gemarkeerd als misbruikt in de praktijk, waarvan zeven door ransomware bendes werden gebruikt.