Kaj se je zgodilo
Cisco je izdal varnostne popravke za ranljivost v storitvi Remote Access SSL VPN znotraj programske opreme Secure Firewall Adaptive Security Appliance (ASA) in Secure Firewall Threat Defense (FTD). Ranljivost, sledena kot CVE-2026-76418, po navedbah več varnostnih virov že doživlja aktivno izkoriščanje v naravi.
Težava izhaja iz logičnih napak pri obdelavi zahtev, kadar je na tunelski skupini (tunnel group) konfigurirana sekundarna avtentikacija. Napadalec lahko brez avtentikacije pošlje posebej oblikovano zahtevo med vzpostavljanjem povezave na SSL VPN storitev, kar sproži nepričakovan ponovni zagon naprave in posledično zavrnitev storitve (denial of service). Uspešna prijava v VPN za izkoriščanje ni potrebna. Po navedbah Cyber Security News je Cisco napako odkril prek incidenta v okviru podpore Technical Assistance Center, prijavil pa jo je Eric Fernald. Cisco je varnostno obvestilo objavil 28. oktobra 2026, potem ko je ekipa PSIRT med oktobrom izvedela za aktivno izkoriščanje.
CVE-2026-76418 ima po NVD oceno CVSS 3.1 8.6 (visoka resnost). Po navedbah Cisco je ranljiva konfiguracija, če je v tekoči konfiguraciji prisotna ključna beseda webvpn in je SSL VPN omogočen na vsaj enem vmesniku, pri čemer je treba preveriti vse tunelske skupine, vključno z privzeto skupino DefaultWEBVPNGroup, glede nastavitve secondary-authentication-server-group.
Gre za tretjo v nizu povezanih ranljivosti, ki prizadenejo ASA in FTD VPN storitve. Avgusta je bila razkrita kritična ranljivost CVE-2025-20333 (CVSS 3.1 9.9, kritična), ki avtenticiranemu oddaljenemu napadalcu z veljavnimi VPN poverilnicami omogoča izvajanje poljubne kode kot root na prizadeti napravi. Ta ranljivost je v katalogu CISA KEV, njena EPSS vrednost pa je na dan 28. oktobra 2026 znašala 71,2 odstotka, kar nakazuje razmeroma visoko verjetnost izkoriščanja. Poleg tega je v katalogu KEV tudi CVE-2026-20349 (CVSS 3.1 8.6, visoka resnost), podobna ranljivost zavrnitve storitve v isti VPN storitvi zaradi nezadostnega preverjanja napak pri obdelavi HTTP zahtev; njena EPSS vrednost je 1,0 odstotka. Obe starejši ranljivosti sta bili dodani v CISA KEV katalog, kar pomeni potrjeno izkoriščanje po oceni ameriške agencije.
Kaj to pomeni za slovenska in evropska podjetja
Cisco ASA in FTD naprave so razširjene med podjetji, ki za oddaljeni dostop uporabljajo SSL VPN. Ponavljajoče se izkoriščanje VPN komponent v istem izdelku v razmeroma kratkem obdobju kaže, da so te naprave stalna tarča napadalcev, saj so pogosto izpostavljene neposredno internetu in predstavljajo vstopno točko v notranje omrežje. Tudi kadar gre »zgolj« za zavrnitev storitve, lahko ponavljajoči se ponovni zagoni požarnega zidu povzročijo prekinitve oddaljenega dostopa in motnje poslovanja, kar je za organizacije z odročnimi delavci ali podružnicami lahko pomembna operativna težava.
Priporočeni ukrepi
Organizacije, ki uporabljajo Cisco Secure Firewall ASA ali FTD z omogočenim SSL VPN, naj čim prej namestijo popravke, ki jih je Cisco objavil v varnostnih obvestilih za CVE-2025-20333, CVE-2026-20349 in CVE-2026-76418. Administratorji naj preverijo, ali je v konfiguraciji prisotna ključna beseda webvpn in ali je SSL VPN omogočen na katerem koli vmesniku, ter preverijo nastavitve secondary-authentication-server-group na vseh tunelskih skupinah, vključno s privzeto skupino DefaultWEBVPNGroup. Ker je CVE-2025-20333 uvrščena v katalog CISA KEV z visoko EPSS vrednostjo, naj ji organizacije namenijo prednostno obravnavo. Priporočljivo je tudi redno spremljanje Ciscovih varnostnih obvestil za to družino izdelkov, saj gre za tretjo tovrstno izkoriščano ranljivost od avgusta.
Vprašanja in odgovori
Ali je CVE-2026-76418 potrjena v katalogu CISA KEV? Podatek o datumu objave v članku ni naveden kot ločen dogodek, vendar viri navajajo aktivno izkoriščanje v naravi, Cisco pa je izdal varnostno obvestilo z odpravo ranljivosti.
Kakšna je razlika med tremi omenjenimi ranljivostmi? CVE-2025-20333 omogoča izvajanje poljubne kode kot root, vendar zahteva veljavne VPN poverilnice, medtem ko CVE-2026-20349 in CVE-2026-76418 neavtenticiranemu napadalcu omogočata le sesutje naprave (zavrnitev storitve).
Ali zadostuje samo posodobitev programske opreme? Cisco v svojem obvestilu poleg posodobitve priporoča tudi preverjanje konfiguracije tunelskih skupin glede nastavitve sekundarne avtentikacije.
Pogosta vprašanja
Kaj povzroča ranljivost CVE-2026-76418?
Logične napake pri obdelavi zahtev, kadar je na tunelski skupini SSL VPN konfigurirana sekundarna avtentikacija, kar neavtenticiranemu napadalcu omogoči sprožitev ponovnega zagona naprave.
Katere Ciscove ranljivosti so trenutno v katalogu CISA KEV?
V katalogu CISA KEV sta CVE-2025-20333 (CVSS 9.9) in CVE-2026-20349 (CVSS 8.6), obe povezani s Secure Firewall ASA in FTD programsko opremo.
Kako preveriti, ali je naprava ranljiva?
Po navedbah Cisco je treba preveriti, ali konfiguracija vsebuje ključno besedo webvpn z omogočenim SSL VPN, ter pregledati nastavitev secondary-authentication-server-group na vseh tunelskih skupinah, vključno s privzeto DefaultWEBVPNGroup.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej