Cisco ASA und FTD: Neue VPN-Zero-Day CVE-2026-76418 aktiv ausgenutzt

Cisco hat am 28. Oktober Updates für eine aktiv ausgenutzte Zero-Day-Lücke in Secure Firewall ASA und Secure Firewall Threat Defense (FTD) veröffentlicht. CVE-2026-76418 (CVSS 8.6) steckt im Remote Access SSL VPN: Ein nicht angemeldeter Angreifer kann die Firewall aus der Ferne zum Neustart zwingen. Die US-Behörde CISA hat die Lücke am 29. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen.

Betroffen sind ASA- und FTD-Geräte, deren SSL-VPN-Anmeldung erreichbar ist und bei denen in einer Tunnel-Gruppe eine sekundäre Authentifizierung konfiguriert ist. Geräte ohne SSL-VPN oder ohne sekundäre Authentifizierung sind laut Cisco nicht verwundbar, ebenso Cloud-delivered Firewall, cdFMC, Secure Access und Secure FMC. Wer verwundbare Firewalls betreibt, sollte heute handeln und nicht auf das reguläre Wartungsfenster warten.

Was ist passiert?

Laut Cisco-Advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 beruht der Fehler auf Logikfehlern, wenn in einer Tunnel-Gruppe sekundäre Authentifizierung eingerichtet ist. Eine präparierte Anfrage beim Verbindungsaufbau zum SSL-VPN genügt, um das Gerät neu starten zu lassen. Eine erfolgreiche VPN-Anmeldung ist dafür nicht nötig. Cisco ordnet den Fehler CWE-690 zu, CISA beschreibt ihn als NULL-Pointer-Dereferenzierung durch einen nicht geprüften Rückgabewert.

Das Cisco-PSIRT hat im Oktober 2026 von aktiver Ausnutzung erfahren, nennt aber weder Täter noch Ziele oder Indikatoren. Gefunden wurde die Lücke bei der Bearbeitung eines TAC-Supportfalls. Es handelt sich ausdrücklich um eine neue Schwachstelle und nicht um die im August gemeldete CVE-2026-20349, die ASA und FTD ebenfalls per DoS angreifbar machte. SecurityWeek spricht von der zweiten ausgenutzten VPN-Zero-Day in Cisco-Firewalls seit August.

Wer ist betroffen?

Verwundbar ist eine Konfiguration, wenn die laufende Konfiguration das Schlüsselwort webvpn enthält und SSL VPN per enable <interface_name> auf mindestens einem Interface aktiv ist. Zusätzlich muss eine Tunnel-Gruppe secondary-authentication-server-group nutzen. Bei aktivem tunnel-group-list enable sind alle Tunnel-Gruppen inklusive DefaultWEBVPNGroup zu prüfen, ohne Gruppenliste zumindest DefaultWEBVPNGroup. Bei FTD gilt die Remote-Access-VPN-Richtlinie in FMC oder FDM samt resultierender Gerätekonfiguration. Shadowserver zählt laut BleepingComputer über 51.000 im Internet erreichbare ASA-SSL-VPN-Geräte, wie viele davon verwundbar sind, ist offen.

Wie kritisch ist das?

Die Lücke führt zu einem Ausfall, nicht zur Codeausführung. Für eine Firewall am Perimeter reicht das aber: Jeder Neustart trennt alle VPN-Nutzer und kann Standorte vom Netz abschneiden, und ein Angreifer kann die Anfrage wiederholen. Da die Ausnutzung bereits belegt ist und keine Anmeldung voraussetzt, ist die Priorität hoch. US-Bundesbehörden müssen bis zum 1. November handeln.

Was sollten Admins jetzt tun?

• Inventar prüfen: Softwareversion aller ASA- und FTD-Geräte erfassen und mit dem Cisco Software Checker abgleichen.
• Auf eine korrigierte Version aktualisieren. ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 oder 9.24.10.1. FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 oder 10.1.1.
• Konfiguration auf webvpn und secondary-authentication-server-group durchsuchen, auch in DefaultWEBVPNGroup.
• Bis zum Update mildern: Nutzt DefaultWEBVPNGroup keine sekundäre Authentifizierung, die Gruppenliste mit no tunnel-group-list enable abschalten. Sonst mit no secondary-authentication-server-group die sekundäre Authentifizierung entfernen, was die Sicherheit des VPN-Zugangs senkt.
• Unerwartete Neustarts und Crash-Logs der letzten Wochen auswerten.

Einordnung für Unternehmen

Cisco-Firewalls stehen seit Monaten im Visier: Nach CVE-2026-20349 im August folgt nun die nächste ausgenutzte VPN-Lücke. Die angebotene Mitigation ist ein Zielkonflikt, weil sie ausgerechnet eine zusätzliche Authentifizierungsstufe entfernt. Sauber ist nur das Update. Unternehmen sollten die Versionsstände ihrer Edge-Geräte zentral nachhalten und Patchfenster für Perimeter-Systeme so planen, dass sie innerhalb weniger Tage reagieren können.

Passende Anleitungen auf S-EDV

• CISA-Warnung zu Cisco, Citrix und Fortinet: Edge-Geräte priorisieren
• WireGuard-VPN mit wg-easy per Docker

Quellen

• Cisco Security Advisory: cisco-sa-asaftd-tunnel-dos-s6mgkb75
• CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-76418)
• BleepingComputer: New Cisco firewall zero-day exploited to crash SSL VPN devices
• The Hacker News: Cisco Patches Actively Exploited ASA and FTD VPN Flaw
• SecurityWeek: Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August