LONDON (IT BOLTWISE) – Cisco hat Patches für eine hochriskante ASA- und FTD-VPN-Schwachstelle veröffentlicht, die nach Angaben des Herstellers bereits aktiv ausgenutzt wird. Betroffen ist der Remote-Access-SSL-VPN-Dienst; CVE-2026-76418 besitzt eine CVSS-Bewertung von 8,6. Ein Angreifer kann demnach ohne Authentifizierung per speziell präparierter Anfrage einen unerwarteten Reload auslösen und damit einen Denial-of-Service verursachen. Für die Übergangszeit empfiehlt Cisco gezielte Anpassungen bei der Sekundärauthentifizierung in Tunnel-Gruppen, darunter die Prüfung der DefaultWEBVPNGroup.
Für Administratoren von Cisco Secure Firewall ASA und Secure Firewall Threat Defense (FTD) steigt der Handlungsdruck: Cisco hat ein Update bereitgestellt, um eine Sicherheitslücke zu schließen, die das Unternehmen als bereits ausgenutzt „in the wild“ einstuft. Die Schwachstelle trägt die Kennung CVE-2026-76418 und erreicht im CVSS-Scoring 8,6. Der konkrete Effekt klingt zunächst nach einem klassischen Stabilitätsproblem, ist im operativen Betrieb aber heikel: Gelingt die Ausnutzung, kann ein Zielgerät unerwartet neu laden und damit in einen Denial-of-Service (DoS) geraten. Besonders kritisch ist dabei, dass Cisco das Problem auf den Remote Access SSL VPN Service zurückführt, also auf genau den Teil, der für den externen Zugriff und damit für die Angriffsfläche vieler Unternehmen steht.
Technisch beschreibt Cisco, dass die Ursache in Logikfehlern bei konfigurierter Sekundärauthentifizierung im Kontext einer Tunnelgruppe liegt. In der Herstellerangabe heißt es: „This vulnerability is due to logic errors when secondary authentication is configured on a tunnel group“. Demnach kann ein Angreifer beim Aufbau der SSL-Remote-Access-VPN-Verbindung eine präparierte Anfrage senden; Cisco formuliert weiter: „An attacker could exploit this vulnerability by sending a crafted request when connecting to the SSL remote access VPN. A successful exploit could allow the attacker to cause the affected device to reload, resulting in a DoS condition.“ Damit ist nicht nur klar, wo die Angriffslogik ansetzt, sondern auch, dass die Konstellation aus SSL-VPN-Erreichbarkeit und Sekundärauthentifizierung entscheidend ist. In der Praxis bedeutet das: Wer Multi-Faktor oder zweite Authentifizierungsstufen im VPN-Flow nutzt, muss sehr genau prüfen, wie die Tunnelgruppen und diezugehörigen Auth-Server konfiguriert sind.
Die Updates sind versionsabhängig und decken sowohl ASA als auch FTD ab. Für Cisco Secure Firewall ASA Software gilt laut Cisco: Bis einschließlich 9.16 ist Fix in 9.16.4.104 verfügbar, bei 9.18 in 9.18.4.96, bei 9.20 in 9.20.4.50, bei 9.22 in 9.22.3.200, bei 9.23 in 9.23.1.48 sowie bei 9.24 in 9.24.1.27 und 9.24.10.1. Für Cisco Secure FTD Software nennt Cisco entsprechende Fix-Versionen: 7.0 in 7.0.11, 7.2 in 7.2.13, 7.4 in 7.4.9, 7.6 in 7.6.7, 7.7 in 7.7.14 sowie 10.0 in 10.0.3 und 10.1 in 10.1.1. Parallel dazu präzisiert Cisco die Exposition: Betroffen sind Geräte mit einer verwundbaren ASA-/FTD-Release, einem erreichbaren SSL-Remote-Access-VPN-Login-Service und einer Sekundärauthentifizierung, die im Scope der Tunnelgruppe konfiguriert ist. In einem weiteren Hinweis betont Cisco außerdem, wie sich die Default-Konfiguration auswirkt: „If tunnel-group-list enable is configured, check all tunnel groups, including the default tunnel group, DefaultWEBVPNGroup, for secondary-authentication-server-group, “ beziehungsweise im zweiten Fall „If tunnel-group-list enable is absent… check the default tunnel group, DefaultWEBVPNGroup, for secondary-authentication-server-group because disabling the group list does not remove exposure when that default group uses secondary authentication.“
Weil Patching in der Regel nicht über Nacht erfolgt, adressiert Cisco auch eine kurzfristige Eindämmung. Als temporäre Maßnahme empfiehlt der Hersteller, die Tunnel-Group-List auszuschalten, sofern DefaultWEBVPNGroup keine Sekundärauthentifizierung nutzt. Alternativ soll Sekundärauthentifizierung entweder auf einer user-konfigurierten Tunnelgruppenliste deaktiviert werden oder – falls im Default-Kontext aktiv – auch auf der DefaultWEBVPNGroup. Für FTD verweist Cisco zudem darauf, dass Administratoren die Remote-Access-VPN-Policy sowie die daraus resultierende Running Configuration in Cisco Secure FMC Software oder Cisco Secure FDM prüfen sollen. Zentral ist außerdem die Aussage: Ein erfolgreicher VPN-Login ist nicht erforderlich, um in den betroffenen Verarbeitungszweig zu gelangen. Das verschiebt die Lage für Security-Teams, weil „ein legitimer Login ist erst einmal kein Schutz“ als Monitoring- und Blocking-Grundlage noch stärker wird.
Die Aktualisierung fällt in eine breitere Bedrohungslandschaft, die Cisco mit einer weiteren Offenlegung unterstreicht. Neben der VPN-Schwachstelle berichtet Cisco, dass ein fortgeschrittener Akteur mit der Kennung UAT-11473 eine andere Schwachstelle, CVE-2026-20127 (Authentication Bypass) in Cisco SD-WAN Catalyst Controller Instanzen, „weaponized“ haben soll, um Authentifizierung zu umgehen und unautorisierten Zugriff zu gewinnen. Cisco ordnet die Aktivität in Ziele ein, die unter anderem Raumfahrt- und Satellitendienste, Verteidigungs- und Luft- und Raumfahrttechnologie sowie Politikforschung betreffen; außerdem wird bewertet, dass es Infrastruktur-Überschneidungen mit dem Umfeld von Volt Typhoon geben könnte. Laut Cisco Talos installierte UAT-11473 zudem ein maßgeschneidertes Malware-Framework namens „KeyDrift“ mit mehreren Komponenten, darunter „PolyFlame“ und „LittleFilch“, das auf das Sammeln von Schlüsselmaterial, Backdoor-Funktionalität und automatisiertes Exfiltrieren von Schlüssel-/Auth-bezogenen Informationen ausgerichtet ist. In der Darstellung des Herstellers läuft das Framework in SD-WAN-Control-Plane-Prozessen, kann entschlüsselten Control Traffic abfangen, Metadaten zu Sessions extrahieren und gesammelte Informationen mithilfe verschlüsselter Datensätze ablegen oder übertragen.
Für Unternehmen ergibt sich daraus ein zweistufiger Handlungsrahmen: Erstens müssen VPN-nahe Angriffsflächen wie der Remote-Access-SSL-VPN-Dienst schnell gehärtet werden, und zwar nicht nur „nach Patchplan“, sondern mit Blick auf die konkreten Triggerbedingungen (Sekundärauthentifizierung plus Tunnelgruppenlogik). Zweitens zeigt der zweite Teil der Meldung, wie eng „Netzwerkperimeter“ und „Steuerungsebene“ mittlerweile verzahnt sind: Wer SD-WAN-Controller und die damit verbundene Control-Plane schützt, reduziert indirekt auch das Risiko, dass Angreifer später Schlüsselmaterial für weitere Zugriffe sammeln können. Aus IT-Security-Sicht ist damit weniger die eine einzelne CVE der Kernpunkt, sondern die Konsequenz für Architekturentscheidungen: Segmentierung, konsequentes Patchen auch auf Infrastruktur-Software, sowie harte Kontrollen rund um Authentifizierungs- und Session-Handling werden zu Daueraufgaben. Cisco liefert mit CVE-2026-76418 zwar ein klar umrissenes technisches Muster, aber die operative Lehre bleibt: Jede Konfiguration, die Authentifizierungslogik erweitert, erweitert häufig auch die Angriffsfläche, wenn ein Logikpfad nicht vollständig gegen präparierte Requests abgesichert ist.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cisco stopft aktiv ausgenutzte ASA/FTD VPN-Schwachstelle (CVE-2026-76418)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cisco stopft aktiv ausgenutzte ASA/FTD VPN-Schwachstelle (CVE-2026-76418)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cisco stopft aktiv ausgenutzte ASA/FTD VPN-Schwachstelle (CVE-2026-76418)« bei Google Deutschland suchen, bei Bing oder Google News!